intelligent piXel

Lagebild

1.093Meldungen gelesen
1000betreffen Sie
93geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Sofort Wordfence

    wpForo Forum

    CVE-2026-95870

    Betrifft Sie, wenn Sie wpForo Forum bis einschließlich 3.2.1 einsetzen und ein durchsuchbares Themenformular mit Kontrollkästchen oder aktivierter Mehrfachauswahl registriert ist.

    wpForo Forum enthält eine SQL-Injection über den Parameter „data“. Die Wordfence bewertet sie mit 7,5, also hoch. Eine Anmeldung ist laut Quelle nicht nötig.

    Nicht authentifizierte Angreifer können zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und dadurch sensible Informationen aus der Datenbank auslesen. Die Quelle nennt als Voraussetzung ein registriertes durchsuchbares Themenformular mit einem Feld vom Typ Kontrollkästchen oder einem Auswahlfeld mit aktivierter Mehrfachauswahl.

    Aktualisieren Sie auf 3.2.2.

    Betroffen
    wpForo Forum
    Behoben in
    3.2.2
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 25,4
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    YML for Yandex Market

    CVE-2026-120548

    Betrifft Sie, wenn Sie YML for Yandex Market bis 5.10.0 einsetzen, ein Feed einen Yandex-Market-API-Schlüssel speichert und die Protokollierung aktiviert ist.

    Das Plugin legt den als Klartext gespeicherten Yandex-Market-API-Schlüssel in einer öffentlich erreichbaren Protokolldatei ab. Ein Angreifer braucht dafür keine Anmeldung. Die Quelle nennt als Folge die vollständige Kontrolle über Katalog, Preise und Bestand des Marktplatzes.

    Wordfence bewertet die Lücke mit 5.3, also mittel. Ich stufe sie als sofort ein, weil ein API-Schlüssel ohne Anmeldung offengelegt werden kann. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 5.11.0.

    Betroffen
    YML for Yandex Market
    Behoben in
    5.11.0
    CVSS
    5.3
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 24,6
    Art
    CWE-532
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    TranslatePress

    CVE-2026-119167

    Betrifft Sie, wenn Sie TranslatePress bis einschließlich 3.3.8 einsetzen, eine sekundäre Sprache eingerichtet ist und ein früherer Kommentar des Namens-E-Mail-Paars freigegeben wurde.

    Ich stufe die Lücke als hoch ein. Wordfence bewertet sie mit 7.2, also hoch. Es handelt sich um gespeichertes Cross-Site-Scripting über den Kommentarparameter. Unzureichende Eingabeprüfung und Ausgabeaufbereitung ermöglichen es nicht angemeldeten Angreifern, beliebige Webskripte in Seiten einzuschleusen.

    Die Skripte werden ausgeführt, sobald ein Benutzer eine betroffene Seite aufruft. Für eine erfolgreiche Ausnutzung nennt die Quelle außerdem eine freigegebene frühere Nachricht desselben Namens-E-Mail-Paars unter der standardmäßigen WordPress-Kommentarmoderation und eine eingerichtete sekundäre Sprache.

    Aktualisieren Sie TranslatePress auf 3.3.9.

    Betroffen
    TranslatePress
    Behoben in
    3.3.9
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 23,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Sofort Wordfence

    Form Maker by 10Web

    CVE-2026-118067

    Betrifft Sie, wenn Sie Form Maker by 10Web bis einschließlich 1.15.50 einsetzen und das betroffene Formular ein File-Upload-Feld enthält.

    Eine gespeicherte Cross-Site-Scripting-Lücke. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen. Die Quelle nennt als Auslöser den Zugriff auf eine eingeschleuste Seite und führt aus, dass die Ausführung erfolgt, wenn ein Administrator die Einsendungsseite des betroffenen Formulars öffnet.

    Wordfence bewertet die Lücke mit 5,4, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.15.51.

    Betroffen
    Form Maker by 10Web
    Behoben in
    1.15.51
    CVSS
    5.4
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 23,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Sofort Wordfence

    Jupiter X Core

    CVE-2026-120737

    Betrifft Sie, wenn Sie Jupiter X Core bis einschließlich 4.62.0 einsetzen und ein Posts- oder Advanced-Posts-Widget als Archivvorlage aktiviert ist.

    Eine fehlende Autorisierungsprüfung erlaubt nicht angemeldeten Angreifern, veröffentlichte Inhaltstypen aufzulisten und darzustellen, die nicht öffentlich gelistet werden sollen. Die Quelle nennt dabei auch Flamingo-CF7-Einträge mit Namen, E-Mail-Adressen, Telefonnummern, vollständigen Nachrichten und IP-Adressen sowie Lesezugriffe auf Metadaten veröffentlichter Beiträge.

    Die Quelle bewertet die Lücke mit 5,9 nach CVSS, also mittel nach Wordfence. Die Voraussetzung mit dem Posts- oder Advanced-Posts-Widget und aktivierter Archivvorlage nennt sie ausdrücklich. Ich stufe sie als mittel ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 4.63.0; die Quelle nennt keine Überbrückung.

    Betroffen
    Jupiter X Core
    Behoben in
    4.63.0
    CVSS
    5.9
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 22,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Sofort Wordfence

    Optimole – Optimize Images

    CVE-2026-120677

    Betrifft Sie, wenn Sie Optimole bis einschließlich 4.2.18 einsetzen und ein Administrator Kommentare in Beiträgen mit Video oder iframe freigibt.

    Eine unzureichende Prüfung und Ausgabe von Kommentarinhalt ermöglicht gespeichertes Cross-Site-Scripting. Eine Anmeldung ist laut Quelle nicht nötig. Eingeschleuste Webskripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft.

    Die Quelle nennt als Voraussetzungen einen von einem Administrator freigegebenen Kommentar und mindestens ein Video- oder iframe-Element im betroffenen Beitrag. Wordfence bewertet die Lücke mit 7,2, also hoch.

    Aktualisieren Sie auf 4.2.19.

    Betroffen
    Optimole – Optimize Images
    Behoben in
    4.2.19
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 22,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Sofort Wordfence

    Strong Testimonials

    CVE-2026-115811

    Betrifft Sie, wenn Sie Strong Testimonials bis einschließlich 3.3.16 einsetzen. Für die Ausführung muss ein Administrator die Standardvorschau öffnen.

    Ich stufe die Lücke als hoch ein. Wordfence bewertet sie mit 7.2, also hoch. Es handelt sich um gespeichertes Cross-Site Scripting durch unzureichende Eingabebereinigung und Ausgabe maskierung.

    Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, wenn jemand eine manipulierte Seite aufruft. Für eine erfolgreiche Ausführung muss ein Administrator den Standardvorschau-Link eines ausstehenden Testimonials öffnen. Der normale Moderationsablauf lädt dazu ein.

    Aktualisieren Sie auf 3.3.17.

    Betroffen
    Strong Testimonials
    Behoben in
    3.3.17
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 21,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Sofort Wordfence

    Quiz and Survey Master (QSM)

    CVE-2026-103917

    Betrifft Sie, wenn Sie das WordPress-Plugin Quiz and Survey Master (QSM) bis einschließlich Version 11.2.7 für Ihre WordPress-Seite einsetzen.

    Die Erweiterung führt beliebige Shortcodes aus, ohne einen übergebenen Wert ausreichend zu prüfen. Das können Angreifer ohne Anmeldung auslösen. Die Quelle beschreibt keine weitere Wirkung.

    Ich stufe die Lücke mit 6,5 als mittel ein. Die Bewertung stammt von Wordfence. Der öffentlich ausgegebene Nonce-Wert dient dabei als CSRF-Schutz, nicht als Zugriffsschranke.

    Aktualisieren Sie Quiz and Survey Master (QSM) auf Version 11.2.8.

    Betroffen
    Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker
    Behoben in
    11.2.8
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 20,6
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Sofort Wordfence

    QODE Wishlist for WooCommerce

    CVE-2026-121516

    Betrifft Sie, wenn Sie das QODE Wishlist for WooCommerce-Plugin auf einer WordPress-Seite in einer Fassung bis einschließlich 1.2.9 einsetzen.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabeabsicherung. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die ausgeführt werden, sobald ein Benutzer eine betroffene Seite aufruft. Dafür ist zusätzlich eine Handlung eines Administrators erforderlich; der Angreifer kann die Lücke nicht selbst auslösen.

    Wordfence bewertet die Lücke mit 6.1, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.3.0.

    Betroffen
    QODE Wishlist for WooCommerce
    Behoben in
    1.3.0
    CVSS
    6.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 20,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Sofort Wordfence

    Paystack WooCommerce Payment Gateway

    CVE-2026-93370

    Betrifft Sie, wenn Sie das Paystack WooCommerce Payment Gateway bis einschließlich 5.8.5 einsetzen und die optionale Metadatenfunktion aktiviert ist.

    Die Quelle beschreibt eine Offenlegung sensibler Informationen über den Parameter „key“. Ohne Anmeldung können Angreifer laut Quelle personenbezogene Kunden- und Bestelldaten aus dem HTML der Seite auslesen, darunter Namen, E-Mail-Adressen, Telefonnummern, Rechnungs- und Lieferadressen sowie gekaufte Produkte.

    Ich stufe die Lücke nach CVSS mit 5,3 als mittel ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken. Die Quelle nennt als Ursache CWE-200.

    Aktualisieren Sie auf 5.8.6.

    Betroffen
    Paystack WooCommerce Payment Gateway
    Behoben in
    5.8.6
    CVSS
    5.3
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,27 %
    Perzentil 19,8
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

93 geprüft und verworfen, mit Begründung
  • 132 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 20 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 19 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 14 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 9 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 6 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 5 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • CVE-2016-10044Linux-Kernel, lokale Rechteausweitung über aio_mount, der Angriff erfordert bereits einen lokalen Benutzer und die historische Lücke ist für den üblichen Serverbetrieb nicht von besonderer Tragweite.
  • CVE-2025-38236Linux-Kernel, lokale Use-after-free-Schwachstelle, deren Ausnutzung ein bereits vorhandenes Konto oder einen laufenden Prozess auf der Maschine voraussetzt.
  • CVE-2025-71192Linux-Kernel, die Schwachstelle betrifft den ALSA-AC97-Treiber für spezielle Audi-hardware und ist nicht aus der Ferne ausnutzbar.
  • CVE-2025-71225Linux-Kernel-RAID, die Schwachstelle setzt lokale Änderungen der RAID-Konfiguration über sysfs und damit bereits privilegierten Zugriff voraus.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-115965BuddyPress, SQL-Injection ab der Abonnentenrolle, ist bereits mit CVE-2026-111850 als dieselbe Schwachstelle mit identischer fehlerbereinigter Version 14.5.3 erfasst.
  • CVE-2026-116408Gallery PhotoBlocks ist bereits mit CVE-2026-114710 als dasselbe gespeicherte Cross-Site-Scripting-Problem bis Version 1.3.7 erfasst.