intelligent piXel

Lagebild

1.219Meldungen im letzten Lauf
1000betreffen Sie
245davon geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Zur Kenntnis Wordfence

    WP w3all phpBB

    CVE-2026-121769

    Betrifft Sie, wenn Sie WP w3all phpBB bis einschließlich 3.1.9 einsetzen und ein Angreifer mindestens Abonnentenrechte hat.

    WP w3all phpBB enthält eine SQL-Injection. Ein authentifizierter Angreifer mit mindestens Abonnentenrechten kann zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und laut Quelle vertrauliche Informationen aus der Datenbank auslesen.

    Patchstack bewertet sie mit 8.5, also hoch. Eine weitere Bewertung ordnet sie als mittel ein. Ich stufe sie zur Kenntnis ein, weil eine Anmeldung und mindestens Abonnentenrechte erforderlich sind. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 3.2.0. Die Quelle nennt keine Überbrückung.

    Betroffen
    WP w3all phpBB
    Behoben in
    3.2.0
    CVSS
    8.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,26 %
    Perzentil 17,9
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Zur Kenntnis Wordfence

    Active Woot Products Tables for WooCommerce. 100% FREE

    CVE-2026-120579

    Betrifft Sie, wenn Sie Active Woot Products Tables for WooCommerce. 100% FREE bis einschließlich 2.1.5 einsetzen und ein angemeldeter Benutzer mit Contributor-Rechten oder höher darauf zugreifen kann.

    Das Plugin verarbeitet das Attribut „help_title“ nicht ausreichend. Dadurch können angemeldete Angreifer mit Contributor-Rechten oder höher beliebige Webskripte in Seiten einschleusen. Die Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Wordfence bewertet die Lücke mit 6.4, also mittel. Ich stufe sie zur Kenntnis ein. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.1.6.

    Betroffen
    Active Woot Products Tables for WooCommerce. 100% FREE
    Behoben in
    2.1.6
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 16,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Zur Kenntnis Wordfence

    FluentBoards

    CVE-2026-119486

    Betrifft Sie, wenn Sie FluentBoards bis einschließlich 2.2.2 einsetzen und ein angemeldeter Benutzer mindestens Subscriber-Rechte hat.

    Die Lücke ist eine fehlende Berechtigungsprüfung. Angemeldete Angreifer mit Subscriber-Rechten oder höher können eine nicht autorisierte Aktion ausführen. Ich stufe sie als mittel ein: Patchstack bewertet sie mit 4.3.

    Wordfence nennt eine erforderliche Anmeldung. Die Lücke steht nicht im KEV-Katalog der CISA für aktiv ausgenutzte Schwachstellen.

    Aktualisieren Sie FluentBoards auf 2.3.0.

    Betroffen
    FluentBoards
    Behoben in
    2.3.0
    CVSS
    4.3
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 14,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Zur Kenntnis Wordfence

    Dropshipping XML Import for WooCommerce

    CVE-2026-119525

    Betrifft Sie, wenn Sie das WordPress-Plugin Dropshipping XML Import for WooCommerce in einer betroffenen Fassung einsetzen.

    Die Quelle beschreibt eine fehlende Berechtigungsprüfung. Dadurch können angemeldete Angreifer mit Zugriff auf der Ebene eines Subscribers oder höher eine nicht autorisierte Aktion ausführen. Eine Anmeldung ist laut Quelle nötig.

    Patchstack bewertet die Schwachstelle mit 4.3, also mittel. Ich stufe sie zur Kenntnis ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.7.5. Die Quelle nennt keine Überbrückung.

    Betroffen
    Dropshipping XML Import for WooCommerce
    Behoben in
    1.7.5
    CVSS
    4.3
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,20 %
    Perzentil 9,7
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Zur Kenntnis Wordfence

    Vidplex

    CVE-2026-120364

    Betrifft Sie, wenn Sie das WordPress-Plugin Vidplex, Ultimate Video Gallery Block for YouTube in Gutenberg, bis einschließlich 1.0.3 einsetzen.

    Vidplex enthält eine gespeicherte Cross-Site-Scripting-Lücke. Authentifizierte Angreifer mit Rechten auf Beitragsniveau oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Patchstack bewertet die Lücke mit 6.5, also mittel. Eine Anmeldung ist laut Quelle nötig. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.0.4.

    Betroffen
    Vidplex
    Behoben in
    1.0.4
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,17 %
    Perzentil 6,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Zur Kenntnis Wordfence

    MoreConvert Wishlist for WooCommerce

    CVE-2026-119510

    Betrifft Sie, wenn Sie MoreConvert Wishlist for WooCommerce in einer betroffenen Fassung einsetzen und Nutzer mit Beitragsrechten oder höher angemeldet sind.

    Ich stufe die Lücke als gespeichertes Cross-Site-Scripting ein. Sie betrifft alle Fassungen bis einschließlich 2.0.3. Angemeldete Angreifer mit Beitragsrechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese werden ausgeführt, sobald jemand eine Seite mit dem eingefügten Inhalt aufruft.

    Patchstack bewertet die Lücke mit 6.5, also mittel. Eine Anmeldung ist laut Quelle erforderlich. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.0.4; die Quelle nennt keine Überbrückung.

    Betroffen
    MoreConvert Wishlist for WooCommerce
    Behoben in
    2.0.4
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,13 %
    Perzentil 2,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Sofort Wordfence

    Appointment Booking Plugin – LatePoint

    CVE-2026-118066

    Betrifft Sie, wenn Sie das Appointment Booking Plugin von LatePoint für WordPress in einer Fassung bis einschließlich 5.7.6 einsetzen.

    Das Plugin hat eine Umgehung der Anmeldung, die eine Kontenübernahme ermöglicht. Unangemeldete Angreifer können laut Quelle das Passwort eines Kunden überschreiben und dadurch auf dessen Buchungen, Bestellungen und personenbezogene Daten zugreifen. Wenn die Option zur Verknüpfung von WordPress-Konten aktiviert ist, kann auch das verbundene WordPress-Konto mit Kunden- oder Abonnentenrolle übernommen werden.

    Die Wordfence bewertet die Lücke mit 9.1, also kritisch. Ich stufe sie als sofort ein, weil kein Konto für den Angriff nötig ist.

    Aktualisieren Sie auf 5.7.7.

    Betroffen
    Appointment Booking Plugin – LatePoint
    Behoben in
    5.7.7
    CVSS
    9.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    2,25 %
    Perzentil 83,2
    Art
    CWE-287
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Sofort Wordfence

    WP Data Access

    CVE-2026-118267

    Betrifft Sie, wenn Sie WP Data Access bis einschließlich 5.5.89 einsetzen und eine veröffentlichte Data App Schreibvorgänge für anonyme Nutzer erlaubt.

    Eine fehlerhafte Berechtigungsprüfung in WP Data Access. Laut Wordfence kann ein Angreifer ohne Anmeldung Daten außerhalb der vorgesehenen Einschränkungen ändern, wenn eine veröffentlichte Data App Schreibvorgänge für anonyme Nutzer zulässt. Die Quelle nennt darunter auch das Überschreiben von Daten eines Administratorenkontos und die Übernahme der WordPress-Seite.

    Wordfence bewertet die Lücke mit 8,1, also hoch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 5.5.90.

    Betroffen
    WP Data Access
    Behoben in
    5.5.90
    CVSS
    8.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    1,62 %
    Perzentil 76,4
    Art
    CWE-863
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Sofort Wordfence

    WP Duplicate

    CVE-2026-123751

    Betrifft Sie, wenn Sie WP Duplicate in einer Version bis einschließlich 1.1.11 einsetzen. Die Quelle nennt keine weiteren Voraussetzungen für diesen Befund.

    Die Lücke prüft die Authentisierung einer Anfrage nicht korrekt und validiert weder Pfad noch Typ hochgeladener Dateien. Dadurch können nicht angemeldete Angreifer beliebige Dateien auf dem Server schreiben. Die NVD nennt außerdem die Möglichkeit, Code aus der Ferne auszuführen.

    CISA bewertet die Lücke mit 9.8, also kritisch. Der Meldungstext beschreibt aktive Ausnutzung in freier Wildbahn. Die Lücke steht nicht im KEV-Katalog der CISA.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    WP Duplicate – WordPress Migration Plugin
    CVSS
    9.8
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,61 %
    Perzentil 49,8
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Sofort Wordfence

    FunnelKit Payment Gateway for Stripe WooCommerce

    CVE-2026-109991

    Betrifft Sie, wenn Sie FunnelKit Payment Gateway for Stripe WooCommerce in einer Version bis einschließlich 1.15.0.2 einsetzen.

    Ich stufe die Lücke als hoch ein. Wordfence bewertet sie mit 7.5, also hoch. Die Erweiterung prüft einen vom Benutzer kontrollierten Schlüssel nicht ausreichend. Laut Quelle ist dafür keine Anmeldung nötig.

    Dadurch können Angreifer vollständige Rechnungsdaten einer Bestellung auslesen, einschließlich Name, E-Mail-Adresse, Telefonnummer und vollständiger Anschrift. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.16.0; die Quelle nennt keine Zwischenlösung.

    Betroffen
    FunnelKit Payment Gateway for Stripe WooCommerce
    Behoben in
    1.16.0
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,48 %
    Perzentil 42,1
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

245 geprüft und verworfen, mit Begründung
  • 127 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 33 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 11 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 10 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 10 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 8 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 7 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 6 MeldungenOracle-Unternehmenssoftware wie WebLogic oder die E-Business Suite. Sie läuft in Rechenzentren großer Firmen mit eigener Betriebsmannschaft, auf einem Linux-Webserver oder unter WordPress kommt sie nicht vor. Meldungen zu MySQL und MariaDB laufen hier unter der Datenbank, nicht unter Oracle.
  • CVE-2025-71102Linux-Kernel, die Auswirkung tritt nur bei aktivierter Debug-Option CONFIG_DEBUG_STACK_USAGE auf und betrifft keine üblichen Produktionskernel.
  • CVE-2025-71192Linux-Kernel, die Schwachstelle betrifft den ALSA-AC97-Treiber für spezielle Audi-hardware und ist nicht aus der Ferne ausnutzbar.
  • CVE-2026-13149Red Hat Ansible Automation Platform ist eine Unternehmensplattform zur Automatisierung und kein typischer Bestandteil eines Linux-Webservers mit WordPress.
  • CVE-2026-105081ImageMagick, die konkrete Lücke erfordert einen lokalen Angreifer, der eine symbolische Verknüpfung anlegt, und ist nicht über eine hochgeladene Bilddatei auslösbar.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-114690Red Hat Enterprise Linux mit mehreren distributionsspezifischen Paketen gehört nicht zur Debian- und Ubuntu-Produktwelt dieses Lagebilds.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-123860JetFormBuilder, unauthentifizierte Ausführung beliebiger Shortcodes in Versionen bis 3.6.8, ist bereits durch den gleichlautenden Vorgang CVE-2026-123483 abgedeckt.
  • CVE-2026-119370The Events Calendar, identische Meldung zur gespeicherten XSS bis Version 6.18.2, daher eine Doppelung von CVE-2026-119369.
  • CVE-2018-1000204Linux-Kernel für NVIDIA-Tegra- und spezielle Cloud-Hardware, die Schwachstelle betrifft keine allgemeine Serverinstallation, sondern eine besondere Plattformvariante.
  • CVE-2023-45853zlib-MiniZip ist kein unterstützter Bestandteil des eigentlichen zlib-Produkts, und die konkrete Schwachstelle betrifft vor allem das zusätzliche Python-Modul pyminizip sowie lokale Archivverarbeitung.
  • CVE-2025-11563cURL-wcurl ist ein separates Kommandozeilenwerkzeug, bei dem ein lokaler Benutzer durch eine manipulierte URL den Ausgabeort außerhalb des Arbeitsverzeichnisses beeinflussen kann.
  • bsi:https://wid.cert-bund.de/portal/wid/securityadvisory?namnginx-ui ist eine separate, authentisierte Verwaltungsoberfläche für nginx und keine Schwachstelle des öffentlich erreichbaren nginx-Webservers selbst.
  • bsi:https://wid.cert-bund.de/portal/wid/securityadvisory?namImageMagick, lediglich allgemein beschriebene Denial-of-Service-Schwachstellen ohne konkrete Angriffsbedingung, betroffene Version oder erkennbare Abhilfe liefern keinen belastbaren Handlungsgrund.