intelligent piXel

Lagebild

767Meldungen gelesen
600betreffen Sie
167geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 600 Einträgen
  1. Diese Woche Wordfence

    Custom Twitter Feeds – A Tweets Widget or X Feed Widget

    CVE-2026-84909

    Betrifft Sie, wenn Sie Custom Twitter Feeds bis 2.8.0 einsetzen und Zugriffstoken mit 0 oder mehreren Legacy-Feeds eingerichtet sind.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Bereinigung von Eingaben und fehlende Maskierung bei der Ausgabe.

    Angemeldete Angreifer ab der Rolle Beitragender können Webskripte in Seiten einfügen. Diese werden ausgeführt, wenn jemand eine betroffene Seite aufruft. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.9.0.

    Betroffen
    Custom Twitter Feeds – A Tweets Widget or X Feed Widget
    Behoben in
    2.9.0
    CVSS
    6.4
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,41 %
    Perzentil 32,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Booking Calendar

    CVE-2026-92561

    Betrifft Sie, wenn Sie Booking Calendar bis einschließlich 11.8.2 einsetzen.

    Ich stufe sie als relevante Cross-Site-Scripting-Schwachstelle ein. Die Quelle beschreibt unzureichende Eingabebereinigung und Ausgabe-Escaping beim Parameter "options".

    Unangemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, wenn sie einen Nutzer erfolgreich zu einer Aktion wie dem Klicken auf einen Link bringen. Die Quelle nennt eine standardmäßig deaktivierte Nonce-Prüfung als Grund dafür, dass betroffene Anfragen ohne Überprüfung den verwundbaren Verarbeitungspunkt erreichen. Die Lücke steht nicht im KEV-Katalog der CISA.

    Aktualisieren Sie Booking Calendar auf 11.8.3.

    Betroffen
    Booking Calendar
    Behoben in
    11.8.3
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,41 %
    Perzentil 32,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Newsletter

    CVE-2026-90981

    Betrifft Sie, wenn Sie Newsletter bis einschließlich 9.3.8 einsetzen und ein angemeldeter Administrator dazu gebracht werden kann, einen Link zu öffnen.

    Ich stufe die Lücke als reflektiertes Cross-Site-Scripting ein. Unangemeldete Angreifer können beliebige Skripte in Seiten einschleusen, wenn sie einen angemeldeten Administrator zu einer entsprechenden Aktion bringen. Die Quelle nennt unzureichende Eingabeprüfung und Ausgabeaufbereitung als Ursache.

    Für die erfolgreiche Ausnutzung muss das Opfer als Administrator angemeldet sein. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 9.3.9. Die Quelle nennt keine Überbrückung.

    Betroffen
    Newsletter – Send awesome emails from WordPress
    Behoben in
    9.3.9
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 29,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    NEX-Forms – Ultimate Forms Plugin for WordPress

    CVE-2026-75961

    Betrifft Sie, wenn Sie NEX-Forms einsetzen und ein Angreifer sich mit benutzerdefinierten Rechten oder höheren Rechten anmelden kann.

    Die Quelle beschreibt eine SQL-Injection durch unzureichende Maskierung und unzureichende Vorbereitung einer SQL-Abfrage. Angemeldete Angreifer mit benutzerdefinierten Rechten oder höheren Rechten können dadurch zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und vertrauliche Informationen aus der Datenbank auslesen.

    Ich stufe sie trotz des mittleren CVSS-Werts als relevant ein, weil die Quelle eine konkrete Auswirkung nennt. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie NEX-Forms auf 9.3.1.

    Betroffen
    NEX-Forms – Ultimate Forms Plugin for WordPress
    Behoben in
    9.3.1
    CVSS
    4.9
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 31,6
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Qi Addons For Elementor

    CVE-2026-92249

    Betrifft Sie, wenn Sie Qi Addons For Elementor bis einschließlich 1.11 einsetzen, das Inhaltsverzeichnis-Widget auf der WordPress-Suchergebnisseite rendert und die Begrenzung auf den Hauptseiteninhalt auf Nein steht.

    Ich stufe die Meldung als reflektiertes, DOM-basiertes Cross-Site-Scripting ein. Die Quelle sagt, dass nicht angemeldete Angreifer beliebige Webskripte in Seiten einschleusen können, die bei einem Zugriff auf eine manipulierte Seite ausgeführt werden.

    Die Quelle nennt als notwendige Bedingungen ein Inhaltsverzeichnis-Widget in einer Vorlage für die Suchergebnisseite und die deaktivierte Begrenzung auf den Hauptseiteninhalt. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 1.11.1.

    Betroffen
    Qi Addons For Elementor
    Behoben in
    1.11.1
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,37 %
    Perzentil 28,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    ShopLentor

    CVE-2026-92554

    Betrifft Sie, wenn Sie ShopLentor in einer Fassung bis einschließlich 3.5.1 einsetzen.

    Ich stufe die Meldung als relevant ein. ShopLentor verarbeitet einen Query-String-Parameternamen unzureichend und gibt ihn ohne ausreichende Ausgabe-Escapierung in ein HTML-Attribut zurück. Dadurch entsteht reflektiertes Cross-Site-Scripting.

    Laut Quelle können nicht angemeldete Angreifer beliebige Webskripte in Seiten einschleusen, wenn sie einen Benutzer erfolgreich zu einer Aktion wie dem Anklicken eines Links bringen. Die Quelle nennt das WL: Product Horizontal Filter Widget als Auslöser.

    Aktualisieren Sie ShopLentor auf 3.5.2.

    Betroffen
    ShopLentor – All-in-One WooCommerce Growth & Store Enhancement Plugin
    Behoben in
    3.5.2
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,37 %
    Perzentil 28,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    EmbedPress

    CVE-2026-89330

    Betrifft Sie, wenn Sie das WordPress-Plugin EmbedPress bis einschließlich 4.6.5 einsetzen, denn die Quelle beschreibt dort reflektiertes Cross-Site-Scripting.

    Die Quelle beschreibt eine Lücke durch unzureichende Bereinigung und Maskierung von Eingaben. Ein Angreifer ohne Anmeldung kann beliebige Webskripte in Seiten einschleusen, wenn er einen Nutzer erfolgreich zu einer Aktion wie dem Anklicken eines Links bringt.

    Ich stufe den Befund als relevant ein. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke. Die Quelle beschreibt sie außerdem als Rückfall gegenüber einer früher behobenen Lücke, nachdem eine Schutzmaßnahme bei einer Überarbeitung entfernt wurde.

    Aktualisieren Sie EmbedPress auf 4.6.6.

    Betroffen
    EmbedPress – PDF Embedder, 3D PDF FlipBook, Google Reviews, YouTube Videos, Upload & Embed PDF documents
    Behoben in
    4.6.6
    CVSS
    6.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,37 %
    Perzentil 28,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Product Feed Manager for WooCommerce

    CVE-2026-66580

    Betrifft Sie, wenn Sie RexFeed bis einschließlich 7.12.0 einsetzen und ein angemeldeter Benutzer mindestens Contributor-Rechte hat.

    Die Quelle beschreibt eine SQL-Injection durch unzureichende Maskierung von Benutzereingaben und eine nicht ausreichende Vorbereitung der bestehenden SQL-Abfrage. Ich stufe sie als relevant ein, weil angemeldete Angreifer mit Contributor-Rechten oder höher zusätzliche SQL-Abfragen an bestehende Abfragen anhängen können.

    Laut Quelle lassen sich damit vertrauliche Informationen aus der Datenbank auslesen. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 7.12.1.

    Betroffen
    Product Feed Manager for WooCommerce – RexFeed – Sell on 200+ Shopping Channels
    Behoben in
    7.12.1
    CVSS
    8.5
    Quelle audit@patchstack.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,36 %
    Perzentil 27,0
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    WordPress

    CVE-2026-93485

    Betrifft Sie, wenn Sie WordPress einsetzen. Die Quelle fasst mehrere Schwachstellen zusammen, nennt aber keine betroffene Einzelkomponente.

    Die Meldung fasst mehrere Schwachstellen zusammen. Laut Quelle können Angreifer dadurch beliebigen Programmcode ausführen, Sicherheitsmaßnahmen umgehen, Cross-Site-Scripting-Angriffe durchführen sowie Daten manipulieren und offenlegen.

    Ich halte mich an den Datensatz: Die Quelle nennt keine Einzelheiten dazu, welche Komponente jeweils betroffen ist. Die Meldung steht nicht im KEV-Katalog der CISA.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    WordPress
    Behoben in
    6.6.8, 6.7.8, 6.8.9
    CVSS
    7.1
    Quelle audit@patchstack.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,35 %
    Perzentil 25,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Magazine Blocks

    CVE-2026-75016

    Betrifft Sie, wenn Sie Magazine Blocks bis einschließlich 1.8.6 einsetzen und ein angemeldeter Benutzer mindestens die Rolle Beitragender hat.

    Ich stufe sie als gespeichertes Cross-Site-Scripting ein. Die Lücke betrifft das News-Ticker-Blockattribut „clientId“. Angemeldete Angreifer mit Beitragsrechten oder höheren Rechten können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Die Quelle nennt unzureichende Eingabebereinigung und Ausgabe-Escaping als Ursache. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie Magazine Blocks auf 1.8.7.

    Betroffen
    Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid
    Behoben in
    1.8.7
    CVSS
    6.4
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,35 %
    Perzentil 26,0
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    17.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

167 geprüft und verworfen, mit Begründung
  • 125 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 19 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 16 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 11 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 9 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 9 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • CVE-2018-1000204Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2022-49202Linux-Kernel, Fehler im Bluetooth-Treiber hci_uart für spezielle Bluetooth-Hardware mit möglichem Denial of Service, diese hardwareabhängige lokale Kernel-Störung trägt keinen Eintrag für das allgemeine Serverlagebild.
  • CVE-2025-39964Linux-Kernel, Fehler im Krypto-Subsystem. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2025-40178Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50712Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-42719Linux-Kernel, Fehler im WLAN-Stack. Betrifft nur WLAN-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-71102Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-33845GnuTLS, Lücke im DTLS-Handshake, DTLS wird auf typischen Webservern mit WordPress nicht verwendet.
  • CVE-2022-30789Linux-Kernel, lokale Rechteausweitung in NTFS-3G. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, EPSS 0,004 und nicht auf der KEV-Liste.
  • CVE-2026-74734Linux-Kernel, Fehler im Firewire-Treiber beim Entladen nach fehlgeschlagener Initialisierung. Erfordert spezielle Firewire-Hardware und einen bereits laufenden Prozess, aus der Ferne nicht auslösbar.
  • CVE-2026-80758Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2026-77860Unbound ist ein eigener DNS-Auflösedienst und gehört nicht zum typischen Webserverbetrieb; die Schwachstellen setzen einen betriebenen Unbound-Dienst mit entsprechender DNS-Konfiguration voraus.
  • CVE-2026-96744MongoDB-Treiber und die Laravel-Integration gehören zu einer MongoDB-Anwendungsumgebung, nicht zum üblichen WordPress-Stack mit MariaDB oder MySQL; die beschriebene Schwachstelle erfordert zudem einen authentifizierten Nutzer.
  • CVE-2026-87775Tz Weekly Radio Schedule, identische Produkt-, Versions- und Angriffsdaten liegen bereits unter CVE-2026-87774 vor, daher handelt es sich um eine Doppelung.
  • CVE-2026-92541Import and export users and customers beschreibt dieselbe fehlerhafte Berechtigungsprüfung und denselben Fix wie CVE-2026-92540, daher wäre ein eigener Eintrag eine Doppelung.
  • CVE-2026-16542Die SSRF in der WP-Erweiterung Import and export users and customers erfordert ein bereits privilegiertes Administratorkonto und ist daher keine von außen ohne Anmeldung auslösbare Schwachstelle.
  • CVE-2026-76559Die SSRF in WP Import Export Lite erfordert eine Import-Berechtigung, die regelmäßig ein bereits privilegiertes Administratorkonto voraussetzt, und ist daher keine von außen ohne Anmeldung auslösbare Schwachstelle.
  • CVE-2024-36476Linux-Kernel, NULL-Zeiger-Dereferenz im speziellen RDMA-Treiber, benötigt lokalen Zugriff und die RDMA-Funktion und verursacht dabei nur einen Denial-of-Service.
  • CVE-2025-15281GNU libc, Absturz bei wordexp mit WRDE_REUSE und WRDE_APPEND. Erfordert ein Programm, das diese Funktion mit fremden Daten füttert, und ist nicht aktiv ausgenutzt.
  • CVE-2026-33535ImageMagick, Denial of Service über den speziellen X11-Display-Pfad; ein Absturz ohne Datenabfluss ist für dieses Lagebild keine vorrangige Meldung.