intelligent piXel

Lagebild

1.208Meldungen im letzten Lauf
1000betreffen Sie
228davon geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Sofort Wordfence

    User Frontend

    CVE-2026-109214

    Betrifft Sie, wenn Sie User Frontend bis einschließlich 4.3.13 einsetzen, ein Taxonomy-Feld im Text-Eingabemodus eingerichtet haben und mindestens ein Frontend-Formular die Einreichung von Gastbeiträgen erlaubt.

    User Frontend ist für gespeichertes Cross-Site-Scripting anfällig. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die beim Aufruf einer betroffenen Seite ausgeführt werden. Die Quelle nennt als Voraussetzung ein eingerichtetes Taxonomy-Feld im Text-Eingabemodus und aktivierte Gastbeitragsübermittlung in mindestens einem Frontend-Formular.

    Wordfence bewertet die Lücke mit 7,2, also hoch. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie sofort auf 4.3.14.

    Betroffen
    User Frontend
    Behoben in
    4.3.14
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 32,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    WP Visitor Statistics (Real Time Traffic)

    CVE-2026-109230

    Betrifft Sie, wenn Sie das WordPress-Plugin WP Visitor Statistics (Real Time Traffic) bis einschließlich Version 8.7.1 einsetzen.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabe-Kodierung. Nicht angemeldete Angreifer können beliebige Skripte in Seiten einschleusen, die bei späterem Aufruf ausgeführt werden, auch im Browser eines angemeldeten Administrators.

    Die Wordfence bewertet die Schwachstelle mit 7,2, also hoch. Eine Anmeldung ist laut Quelle nicht nötig.

    Aktualisieren Sie auf Version 8.8.

    Betroffen
    WP Visitor Statistics (Real Time Traffic)
    Behoben in
    8.8
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 31,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    Quttera ThreatSign – Web Malware Scanner for WordPress

    CVE-2026-115548

    Betrifft Sie, wenn Sie das WordPress-Plugin Quttera ThreatSign bis einschließlich 4.1.0.48 einsetzen, denn diese Fassungen sind betroffen.

    Ich stufe die Lücke als hoch ein. Wordfence bewertet sie mit 7.2, also hoch. Es handelt sich um gespeichertes Cross-Site-Scripting. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die ausgeführt werden, wenn ein Administrator eine manipulierte Seite aufruft.

    Die Quelle nennt keine weiteren Voraussetzungen und keine andere Wirkung. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie Quttera ThreatSign auf 4.1.0.49.

    Betroffen
    Quttera ThreatSign – Web Malware Scanner for WordPress
    Behoben in
    4.1.0.49
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 31,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Sofort Wordfence

    Optimole

    CVE-2026-120739

    Betrifft Sie, wenn Sie Optimole bis einschließlich 4.2.18 einsetzen und eine Seite mit unvollständigem Profil haben. Laut Quelle ist dafür keine Anmeldung nötig.

    Optimole verarbeitet Eingaben unzureichend und gibt sie ungeschützt aus. Dadurch können Fremde ohne Anmeldung Webskripte in Seiten einfügen, die ausgeführt werden, sobald jemand eine manipulierte Seite aufruft.

    Wordfence bewertet die Lücke mit 7.2, also hoch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 4.2.19.

    Betroffen
    Optimole – Optimize Images
    Behoben in
    4.2.19
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 27,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Sofort Wordfence

    EASY-JS-WPAPI Client HANDLE für die WordPress REST-API

    CVE-2026-115213

    Betrifft Sie, wenn Sie das WordPress-Plugin EASY-JS-WPAPI Client HANDLE für die REST-API bis einschließlich 2.0 einsetzen.

    Das Plugin legt gespeicherte Administratorpasswörter gegenüber nicht angemeldeten Nutzern offen und prüft die Anmeldung nicht korrekt. Dadurch können nicht angemeldete Angreifer Administratorzugang zur Website erlangen. Ich stufe die Lücke mit 9.8 als kritisch nach CISA ein.

    Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken. Das ändert nichts an der Wirkung, die der Quelltext beschreibt.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    EASY-JS-WPAPI Client HANDLE for the WordPress REST-API
    CVSS
    9.8
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 27,4
    Art
    CWE-287
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Sofort Wordfence

    wpForo Forum

    CVE-2026-95870

    Betrifft Sie, wenn Sie wpForo Forum bis einschließlich 3.2.1 einsetzen und ein durchsuchbares Themenformular mit Kontrollkästchen oder aktivierter Mehrfachauswahl registriert ist.

    wpForo Forum enthält eine SQL-Injection über den Parameter „data“. Die Wordfence bewertet sie mit 7,5, also hoch. Eine Anmeldung ist laut Quelle nicht nötig.

    Nicht authentifizierte Angreifer können zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und dadurch sensible Informationen aus der Datenbank auslesen. Die Quelle nennt als Voraussetzung ein registriertes durchsuchbares Themenformular mit einem Feld vom Typ Kontrollkästchen oder einem Auswahlfeld mit aktivierter Mehrfachauswahl.

    Aktualisieren Sie auf 3.2.2.

    Betroffen
    wpForo Forum
    Behoben in
    3.2.2
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 25,6
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Sofort Wordfence

    YML for Yandex Market

    CVE-2026-120548

    Betrifft Sie, wenn Sie YML for Yandex Market bis 5.10.0 einsetzen, ein Feed einen Yandex-Market-API-Schlüssel speichert und die Protokollierung aktiviert ist.

    Das Plugin legt den als Klartext gespeicherten Yandex-Market-API-Schlüssel in einer öffentlich erreichbaren Protokolldatei ab. Ein Angreifer braucht dafür keine Anmeldung. Die Quelle nennt als Folge die vollständige Kontrolle über Katalog, Preise und Bestand des Marktplatzes.

    Wordfence bewertet die Lücke mit 5.3, also mittel. Ich stufe sie als sofort ein, weil ein API-Schlüssel ohne Anmeldung offengelegt werden kann. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 5.11.0.

    Betroffen
    YML for Yandex Market
    Behoben in
    5.11.0
    CVSS
    5.3
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 24,8
    Art
    CWE-532
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Sofort Wordfence

    TranslatePress

    CVE-2026-119167

    Betrifft Sie, wenn Sie TranslatePress bis einschließlich 3.3.8 einsetzen, eine sekundäre Sprache eingerichtet ist und ein früherer Kommentar des Namens-E-Mail-Paars freigegeben wurde.

    Ich stufe die Lücke als hoch ein. Wordfence bewertet sie mit 7.2, also hoch. Es handelt sich um gespeichertes Cross-Site-Scripting über den Kommentarparameter. Unzureichende Eingabeprüfung und Ausgabeaufbereitung ermöglichen es nicht angemeldeten Angreifern, beliebige Webskripte in Seiten einzuschleusen.

    Die Skripte werden ausgeführt, sobald ein Benutzer eine betroffene Seite aufruft. Für eine erfolgreiche Ausnutzung nennt die Quelle außerdem eine freigegebene frühere Nachricht desselben Namens-E-Mail-Paars unter der standardmäßigen WordPress-Kommentarmoderation und eine eingerichtete sekundäre Sprache.

    Aktualisieren Sie TranslatePress auf 3.3.9.

    Betroffen
    TranslatePress
    Behoben in
    3.3.9
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 23,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Sofort Wordfence

    Form Maker by 10Web

    CVE-2026-118067

    Betrifft Sie, wenn Sie Form Maker by 10Web bis einschließlich 1.15.50 einsetzen und das betroffene Formular ein File-Upload-Feld enthält.

    Eine gespeicherte Cross-Site-Scripting-Lücke. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen. Die Quelle nennt als Auslöser den Zugriff auf eine eingeschleuste Seite und führt aus, dass die Ausführung erfolgt, wenn ein Administrator die Einsendungsseite des betroffenen Formulars öffnet.

    Wordfence bewertet die Lücke mit 5,4, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.15.51.

    Betroffen
    Form Maker by 10Web
    Behoben in
    1.15.51
    CVSS
    5.4
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 23,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Sofort Wordfence

    Jupiter X Core

    CVE-2026-120737

    Betrifft Sie, wenn Sie Jupiter X Core bis einschließlich 4.62.0 einsetzen und ein Posts- oder Advanced-Posts-Widget als Archivvorlage aktiviert ist.

    Eine fehlende Autorisierungsprüfung erlaubt nicht angemeldeten Angreifern, veröffentlichte Inhaltstypen aufzulisten und darzustellen, die nicht öffentlich gelistet werden sollen. Die Quelle nennt dabei auch Flamingo-CF7-Einträge mit Namen, E-Mail-Adressen, Telefonnummern, vollständigen Nachrichten und IP-Adressen sowie Lesezugriffe auf Metadaten veröffentlichter Beiträge.

    Die Quelle bewertet die Lücke mit 5,9 nach CVSS, also mittel nach Wordfence. Die Voraussetzung mit dem Posts- oder Advanced-Posts-Widget und aktivierter Archivvorlage nennt sie ausdrücklich. Ich stufe sie als mittel ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 4.63.0; die Quelle nennt keine Überbrückung.

    Betroffen
    Jupiter X Core
    Behoben in
    4.63.0
    CVSS
    5.9
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 22,7
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

228 geprüft und verworfen, mit Begründung
  • 111 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 33 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 12 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 10 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 10 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 8 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 8 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 6 MeldungenOracle-Unternehmenssoftware wie WebLogic oder die E-Business Suite. Sie läuft in Rechenzentren großer Firmen mit eigener Betriebsmannschaft, auf einem Linux-Webserver oder unter WordPress kommt sie nicht vor. Meldungen zu MySQL und MariaDB laufen hier unter der Datenbank, nicht unter Oracle.
  • CVE-2025-71102Linux-Kernel, die Auswirkung tritt nur bei aktivierter Debug-Option CONFIG_DEBUG_STACK_USAGE auf und betrifft keine üblichen Produktionskernel.
  • CVE-2025-71192Linux-Kernel, die Schwachstelle betrifft den ALSA-AC97-Treiber für spezielle Audi-hardware und ist nicht aus der Ferne ausnutzbar.
  • CVE-2026-13149Red Hat Ansible Automation Platform ist eine Unternehmensplattform zur Automatisierung und kein typischer Bestandteil eines Linux-Webservers mit WordPress.
  • CVE-2026-105081ImageMagick, die konkrete Lücke erfordert einen lokalen Angreifer, der eine symbolische Verknüpfung anlegt, und ist nicht über eine hochgeladene Bilddatei auslösbar.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-114690Red Hat Enterprise Linux mit mehreren distributionsspezifischen Paketen gehört nicht zur Debian- und Ubuntu-Produktwelt dieses Lagebilds.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-123860JetFormBuilder, unauthentifizierte Ausführung beliebiger Shortcodes in Versionen bis 3.6.8, ist bereits durch den gleichlautenden Vorgang CVE-2026-123483 abgedeckt.
  • CVE-2026-119370The Events Calendar, identische Meldung zur gespeicherten XSS bis Version 6.18.2, daher eine Doppelung von CVE-2026-119369.
  • CVE-2022-50470Linux-Kernel, der Fehler betrifft nur die USB-Unterstützung auf Intel-Panther-Point-Systemen mit aktivierter Software-Bandbreitenprüfung und verursacht dort einen lokalen Absturz.
  • CVE-2026-32665Unbound, der Fehler setzt aktiviertes DNS-over-QUIC und einen konfigurierten QUIC-Port voraus und führt ausschließlich zu einer Dienstverweigerung des DNS-Auflösers.