intelligent piXel

Lagebild

1.208Meldungen im letzten Lauf
1000betreffen Sie
228davon geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Invoice Gateway for WooCommerce – Invoice Payment Gateway

    CVE-2026-120856

    Betrifft Sie, wenn Sie das WordPress-Plugin Invoice Gateway for WooCommerce in einer Fassung bis einschließlich 1.1.6 einsetzen.

    Wordfence beschreibt eine gespeicherte Cross-Site-Scripting-Lücke, durch die nicht angemeldete Angreifer beliebige Skripte in Seiten einschleusen können. Diese Skripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft. Die NVD bezeichnet die Lücke als reflektiertes Cross-Site-Scripting.

    Die CVSS-Bewertung von Patchstack liegt bei 7.1, also hoch. Eine Anmeldung ist laut Quelle nicht nötig. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.1.7.

    Betroffen
    Invoice Gateway for WooCommerce – Invoice Payment Gateway
    Behoben in
    1.1.7
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 8,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Broadcast Live Video

    CVE-2026-122664

    Betrifft Sie, wenn Sie Broadcast Live Video bis einschließlich 7.3.14 einsetzen und noch nicht auf 7.3.15 aktualisiert haben.

    Die Quelle beschreibt reflektiertes Cross-Site Scripting durch unzureichende Eingabeprüfung und Ausgabe-Escaping. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, wenn sie einen Benutzer erfolgreich zu einer Aktion wie dem Anklicken eines Links bewegen.

    Ich stufe die Lücke als hoch ein. Patchstack bewertet sie mit 7.1, also hoch. Eine weitere Bewertung ordnet sie als mittel ein.

    Aktualisieren Sie auf 7.3.15.

    Betroffen
    Broadcast Live Video
    Behoben in
    7.3.15
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 8,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    SchemaEngine AI

    CVE-2026-54863

    Betrifft Sie, wenn Sie das WordPress-Plugin SchemaEngine AI in einer Fassung bis einschließlich 3.1.4 einsetzen.

    Eine Reflected-Cross-Site-Scripting-Lücke durch unzureichende Prüfung von Eingaben und Absicherung der Ausgabe. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, wenn sie eine Person erfolgreich zu einer Aktion wie dem Anklicken eines Links bewegen.

    Patchstack bewertet die Lücke mit 7.1, also hoch nach CVSS. Ich stufe sie trotz der fehlenden Aufnahme in den KEV-Katalog als relevant ein, weil keine Anmeldung erforderlich ist.

    Aktualisieren Sie auf 3.1.5.

    Betroffen
    SchemaEngine AI
    Behoben in
    3.1.5
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 8,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    WP-Lister Lite for Amazon

    CVE-2026-121778

    Betrifft Sie, wenn Sie WP-Lister Lite for Amazon bis einschließlich 2.9.2 einsetzen. Unangemeldete Angreifer können eine nicht erlaubte Aktion ausführen.

    Die Erweiterung prüft bei einer Funktion die Berechtigung nicht. Dadurch können unangemeldete Angreifer eine nicht erlaubte Aktion ausführen.

    Ich stufe die Lücke als mittel ein. Patchstack bewertet sie mit 5.3, also mittel. Eine Anmeldung ist laut Quelle nicht nötig.

    Aktualisieren Sie auf 2.9.2.5.

    Betroffen
    WP-Lister Lite for Amazon
    Behoben in
    2.9.2.5
    CVSS
    5.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 8,4
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    weDocs

    CVE-2026-121767

    Betrifft Sie, wenn Sie das WordPress-Plugin weDocs in einer Fassung bis einschließlich 2.6.1 einsetzen. Die Quelle nennt keine weitere Voraussetzung.

    Eine fehlende Berechtigungsprüfung in weDocs. Die Quelle beschreibt, dass nicht angemeldete Angreifer dadurch eine nicht erlaubte Aktion ausführen können. Ich stufe die Lücke nach dem CVSS-Wert 5.3 von Patchstack als mittel ein.

    Die Quelle nennt keine weitergehende Auswirkung und keine zusätzliche Voraussetzung für den Angriff.

    Aktualisieren Sie weDocs auf 2.6.2.

    Betroffen
    weDocs
    Behoben in
    2.6.2
    CVSS
    5.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 8,4
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Meta Box – A Framework for Dynamic Websites

    CVE-2026-123472

    Betrifft Sie, wenn Sie Meta Box bis einschließlich 5.15.3 einsetzen und ein angemeldeter Benutzer mit Contributor-Rechten oder höher Zugriff hat.

    Ich stufe sie als mittel ein. Patchstack bewertet sie mit 6.5, also mittel. Die Schwachstelle ist ein gespeichertes Cross-Site-Scripting. Angemeldete Angreifer mit Contributor-Rechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, wenn ein Benutzer eine betroffene Seite aufruft.

    Die Quelle nennt unzureichende Eingabesanitierung und Ausgabe-Escaping als Ursache. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 5.15.4. Die Quelle nennt keine Überbrückung.

    Betroffen
    Meta Box – A Framework for Dynamic Websites
    Behoben in
    5.15.4
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 7,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Fluent Booking

    CVE-2026-122659

    Betrifft Sie, wenn Sie Fluent Booking bis einschließlich 2.5.0 einsetzen und ein Angreifer bereits mit Subscriber-Rechten oder höher angemeldet ist.

    Fluent Booking prüft bei einer Funktion die Berechtigung nicht ausreichend. Dadurch können angemeldete Angreifer mit Subscriber-Rechten oder höher eine nicht autorisierte Aktion ausführen.

    Die NVD und Wordfence nennen eine fehlende Berechtigungsprüfung. Ich stufe die Lücke nach CVSS 5.4 von Patchstack als mittel ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.6.0. Die Quelle nennt keine Überbrückung.

    Betroffen
    Fluent Booking
    Behoben in
    2.6.0
    CVSS
    5.4
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 7,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    PowerPress Podcasting plugin by Blubrry

    CVE-2026-121762

    Betrifft Sie, wenn Sie das WordPress-Plugin PowerPress Podcasting von Blubrry einsetzen und die Erweiterung noch nicht aktualisiert ist.

    Ich stufe sie als hoch ein. Patchstack bewertet die Lücke mit 8.8, also hoch. Eine weitere Bewertung ordnet sie als mittel ein, ohne dass der Datensatz dafür eine Quelle nennt.

    Es handelt sich um Cross-Site Request Forgery. Laut Quelle können nicht angemeldete Angreifer eine gefälschte Anfrage verwenden, wenn sie einen Administrator dazu bringen, eine Handlung auszuführen. Die Quelle nennt als Beispiel das Anklicken eines Links. Die Lücke beruht auf fehlender oder fehlerhafter Nonce-Prüfung.

    Aktualisieren Sie auf 11.18.2.

    Betroffen
    PowerPress Podcasting plugin by Blubrry
    Behoben in
    11.18.2
    CVSS
    8.8
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 7,3
    Art
    CWE-352
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    TI WooCommerce Wishlist

    CVE-2026-120855

    Betrifft Sie, wenn Sie TI WooCommerce Wishlist bis einschließlich 2.14.0 einsetzen und ein angemeldetes Konto mit mindestens Abonnentenrechten zugreifen kann.

    Ich stufe sie als mittel ein. Patchstack bewertet sie mit 6.5, also mittel. Die Lücke ist ein gespeichertes Cross-Site-Scripting durch unzureichende Eingabebereinigung und Ausgabeprüfung.

    Ein angemeldeter Angreifer mit mindestens Abonnentenrechten kann beliebige Webskripte in Seiten einschleusen. Sie werden ausgeführt, sobald ein Benutzer eine manipulierte Seite aufruft. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.14.1.

    Betroffen
    TI WooCommerce Wishlist
    Behoben in
    2.14.1
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,17 %
    Perzentil 6,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Directorist

    CVE-2026-122661

    Betrifft Sie, wenn Sie Directorist bis einschließlich 8.10.7 einsetzen und ein angemeldeter Benutzer mit Subscriber-Rechten oder höher zugreifen kann.

    Directorist enthält eine gespeicherte Cross-Site-Scripting-Lücke. Angemeldete Angreifer mit Subscriber-Rechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald ein Benutzer eine betroffene Seite aufruft.

    Ich stufe die Lücke als mittel ein. Patchstack bewertet sie mit 6.5, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie diese Woche auf 8.11.

    Betroffen
    Directorist
    Behoben in
    8.11
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,17 %
    Perzentil 6,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

228 geprüft und verworfen, mit Begründung
  • 111 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 33 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 12 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 10 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 10 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 8 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 8 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 6 MeldungenOracle-Unternehmenssoftware wie WebLogic oder die E-Business Suite. Sie läuft in Rechenzentren großer Firmen mit eigener Betriebsmannschaft, auf einem Linux-Webserver oder unter WordPress kommt sie nicht vor. Meldungen zu MySQL und MariaDB laufen hier unter der Datenbank, nicht unter Oracle.
  • CVE-2025-71102Linux-Kernel, die Auswirkung tritt nur bei aktivierter Debug-Option CONFIG_DEBUG_STACK_USAGE auf und betrifft keine üblichen Produktionskernel.
  • CVE-2025-71192Linux-Kernel, die Schwachstelle betrifft den ALSA-AC97-Treiber für spezielle Audi-hardware und ist nicht aus der Ferne ausnutzbar.
  • CVE-2026-13149Red Hat Ansible Automation Platform ist eine Unternehmensplattform zur Automatisierung und kein typischer Bestandteil eines Linux-Webservers mit WordPress.
  • CVE-2026-105081ImageMagick, die konkrete Lücke erfordert einen lokalen Angreifer, der eine symbolische Verknüpfung anlegt, und ist nicht über eine hochgeladene Bilddatei auslösbar.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-114690Red Hat Enterprise Linux mit mehreren distributionsspezifischen Paketen gehört nicht zur Debian- und Ubuntu-Produktwelt dieses Lagebilds.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-123860JetFormBuilder, unauthentifizierte Ausführung beliebiger Shortcodes in Versionen bis 3.6.8, ist bereits durch den gleichlautenden Vorgang CVE-2026-123483 abgedeckt.
  • CVE-2026-119370The Events Calendar, identische Meldung zur gespeicherten XSS bis Version 6.18.2, daher eine Doppelung von CVE-2026-119369.
  • CVE-2022-50470Linux-Kernel, der Fehler betrifft nur die USB-Unterstützung auf Intel-Panther-Point-Systemen mit aktivierter Software-Bandbreitenprüfung und verursacht dort einen lokalen Absturz.
  • CVE-2026-32665Unbound, der Fehler setzt aktiviertes DNS-over-QUIC und einen konfigurierten QUIC-Port voraus und führt ausschließlich zu einer Dienstverweigerung des DNS-Auflösers.