intelligent piXel

Lagebild

1.139Meldungen im letzten Lauf
1000betreffen Sie
226davon geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    WP-Members Membership Plugin

    Gespeichertes Cross-Site-Scripting

    CVE-2026-96565

    Betrifft Sie, wenn Sie WP-Members Membership Plugin bis einschließlich 3.5.7 einsetzen und der WooCommerce-Klassik-Checkout genutzt wird.

    Wordfence beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabe-Escaping. Authentifizierte Angreifer ab der Subscriber-Rolle können beliebige Webskripte in Seiten einschleusen, die bei jedem Zugriff auf eine betroffene Seite ausgeführt werden.

    Die Lücke ist über den WooCommerce-Klassik-Checkout ausnutzbar. Die Quelle bewertet sie mit 6,4, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 3.5.8.

    Betroffen
    WP-Members Membership Plugin
    Behoben in
    3.5.8
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 28,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Melapress Role Editor

    Rechteausweitung

    CVE-2026-109900

    Betrifft Sie, wenn Sie Melapress Role Editor bis einschließlich 1.3.0 einsetzen. Die Quelle nennt eine Ausnutzung ohne Anmeldung.

    Melapress Role Editor weist Benutzern möglicherweise mehr Rechte zu, als ihre Rolle vorsieht. Die Quelle führt das auf eine unzureichende Einschränkung der Berechtigungen zurück. Nicht angemeldete Angreifer können ihre Rechte über die für ihre Rolle vorgesehenen hinaus erweitern.

    Patchstack bewertet die Lücke mit 9.6, also kritisch. Eine weitere Bewertung stuft sie als hoch ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.4.0; die Quelle nennt keine Überbrückung.

    Betroffen
    Melapress Role Editor
    Behoben in
    1.4.0
    CVSS
    9.6
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 27,6
    Art
    CWE-266
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Dynific Addons for Elementor (formerly Anywhere Elementor)

    SQL-Injection

    CVE-2026-103914

    Betrifft Sie, wenn Sie Dynific Addons for Elementor bis einschließlich Version 1.3 einsetzen und ein angemeldeter Benutzer die Erweiterung nutzen kann.

    Die Erweiterung enthält eine SQL-Injection. Angemeldete Angreifer mit Subscriber-Rechten oder höher können laut Quelle zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und damit vertrauliche Informationen aus der Datenbank auslesen.

    Wordfence bewertet die Lücke mit 6,5, also mittel. Ich stufe sie als diese Woche ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf Version 1.3.1. Die Quelle nennt keine Überbrückung.

    Betroffen
    Dynific Addons for Elementor (formerly Anywhere Elementor)
    Behoben in
    1.3.1
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 27,3
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Dynific Addons for Elementor (formerly Anywhere Elementor)

    SQL-Injection

    CVE-2026-114189

    Betrifft Sie, wenn Sie Dynific Addons for Elementor bis einschließlich 1.3.0 einsetzen und eine Anmeldung mit mindestens Abonnentenrechten möglich ist.

    Die Erweiterung enthält eine SQL-Injection. Angemeldete Angreifer mit mindestens Abonnentenrechten können zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und dadurch sensible Informationen aus der Datenbank auslesen.

    Ich stufe die Lücke als hoch ein. Patchstack bewertet sie mit 8.5, also hoch. Im Datensatz steht außerdem eine Einstufung als mittel.

    Aktualisieren Sie auf 1.3.1; die Quelle nennt keine Überbrückung.

    Betroffen
    Dynific Addons for Elementor (formerly Anywhere Elementor)
    Behoben in
    1.3.1
    CVSS
    8.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,33 %
    Perzentil 26,5
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Modula Image Gallery – Photo Grid & Video Gallery

    Gespeichertes Cross-Site-Scripting

    CVE-2026-121976

    Betrifft Sie, wenn Sie Modula Image Gallery bis einschließlich 3.0.17 einsetzen und angemeldete Nutzer mit Author-Rechten oder höher Zugriff haben.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting. Angemeldete Angreifer mit Author-Rechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese werden ausgeführt, wenn jemand eine manipulierte Seite aufruft und auf die Galerie klickt.

    Wordfence bewertet die Lücke mit 6,4, also mittel. Eine Anmeldung ist laut Quelle erforderlich.

    Aktualisieren Sie auf 3.0.18.

    Betroffen
    Modula Image Gallery – Photo Grid & Video Gallery
    Behoben in
    3.0.18
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 25,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    FraudLabs Pro SMS Verification

    Fehlende Berechtigungsprüfung

    CVE-2026-106008

    Betrifft Sie, wenn Sie das WordPress-Plugin FraudLabs Pro SMS Verification in den Versionen 1.11.2 bis 1.12.1 in Ihrer WordPress-Installation einsetzen.

    Das Plugin führt vor einer Aktion keine Autorisierungs- oder Gültigkeitsprüfung durch. Dadurch können nicht angemeldete Nutzer den verifizierten Status einer WooCommerce-Bestellung fälschen und die SMS-Prüfung des Plugins umgehen.

    WPScan bewertet die Lücke mit 5.3, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    FraudLabs Pro SMS Verification
    CVSS
    5.3
    Quelle WPScan
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 24,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    wpForo Forum

    Gespeichertes Cross-Site-Scripting

    CVE-2026-120532

    Betrifft Sie, wenn Sie wpForo Forum bis einschließlich 3.2.2 einsetzen und angemeldete Benutzer mit Subscriber-Rechten oder höher dort Antworten verfassen können.

    wpForo Forum verarbeitet den Inhalt einer Antwort nicht ausreichend und gibt ihn ohne ausreichende Absicherung aus. Dadurch können angemeldete Angreifer mit Subscriber-Rechten oder höher beliebige Webskripte in Seiten einschleusen, die beim Aufruf der betroffenen Seite ausgeführt werden.

    Die Wordfence bewertet die Lücke mit 6,4, also mittel. Ich stufe sie als diese Woche ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie wpForo Forum auf 3.2.3.

    Betroffen
    wpForo Forum
    Behoben in
    3.2.3
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 24,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    weDocs

    Gespeichertes Cross-Site-Scripting

    CVE-2026-104760

    Betrifft Sie, wenn Sie weDocs bis einschließlich 2.6.1 einsetzen und Benutzer mit Contributor-Rechten oder höher angemeldet sind.

    Eine gespeicherte Cross-Site-Scripting-Lücke durch unzureichende Prüfung von Eingaben und Ausgabe. Angemeldete Angreifer mit Contributor-Rechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Bei einem Beitrag im Status „pending“ geschieht das laut Quelle im Browser jedes Administrators oder Redakteurs, der den Beitrag in der Vorschau oder Ansicht öffnet. Wordfence bewertet die Lücke mit 6,4, also mittel.

    Aktualisieren Sie weDocs auf 2.6.2.

    Betroffen
    weDocs
    Behoben in
    2.6.2
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 24,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Stackable – Page Builder Gutenberg Blocks

    Gespeichertes Cross-Site-Scripting

    CVE-2026-9601

    Betrifft Sie, wenn Sie Stackable – Page Builder Gutenberg Blocks in einer Fassung bis einschließlich 3.19.9 einsetzen.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabe-Escaping. Angreifer mit Anmeldung und mindestens Rechten auf Contributor-Ebene können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft.

    Wordfence bewertet die Lücke mit 6.4, also mittel. Eine Anmeldung ist laut Quelle erforderlich.

    Aktualisieren Sie diese Woche auf 3.19.10.

    Betroffen
    Stackable – Page Builder Gutenberg Blocks
    Behoben in
    3.19.10
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 23,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Real Testimonials

    Gespeichertes Cross-Site-Scripting

    CVE-2026-120509

    Betrifft Sie, wenn Sie Real Testimonials in einer betroffenen Fassung einsetzen.

    Real Testimonials ist bis einschließlich 4.1.0 für gespeichertes Cross-Site-Scripting anfällig. Unangemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die beim Aufruf einer betroffenen Seite ausgeführt werden.

    Die erfolgreiche Ausnutzung erfordert laut Wordfence eine Handlung eines Administrators im Moderationsablauf. Wordfence bewertet die Lücke mit 4.7, also mittel. Ich stufe sie als diese Woche ein.

    Aktualisieren Sie auf 4.1.1.

    Betroffen
    Real Testimonials
    Behoben in
    4.1.1
    CVSS
    4.7
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 23,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

226 geprüft und verworfen, mit Begründung
  • 125 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 27 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 9 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 7 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 6 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 4 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 3 MeldungenPostgreSQL, eine eigene Datenbankwelt mit eigenen Werkzeugen und Erweiterungen. WordPress speichert in MySQL oder MariaDB und kann mit PostgreSQL von Haus aus nicht arbeiten. Auf dem Server liegt PostgreSQL nur, wenn eine andere Anwendung es mitgebracht hat, und deren Betreiber kennt es.
  • CVE-2018-1000204Linux-Kernel für NVIDIA-Tegra- und spezielle Cloud-Hardware, die Schwachstelle betrifft keine allgemeine Serverinstallation, sondern eine besondere Plattformvariante.
  • CVE-2022-49623Linux-Kernel auf PowerPC mit XIVE, die Schwachstelle betrifft eine spezielle Serverhardware und ist nicht auf gewöhnlichen x86- oder ARM-Servern wirksam.
  • CVE-2022-49834Linux-Kernel, nilfs2-Dateisystem. Die Use-after-free-Lücke setzt eine lokale Remount-Situation mit bereits beschädigten Metadaten voraus und ist nicht von außen ohne Anmeldung auslösbar.
  • CVE-2025-37840Linux-Kernel, brcmnand-Treiber für Broadcom-STB-Hardware. Die Meldung betrifft eine spezielle Plattform und beschreibt eine Warnung beim Aufwachen aus dem Energiesparzustand, keine allgemeine Serverschwachstelle.
  • CVE-2025-38238Linux-Kernel, fnic-Treiber für Fibre-Channel-Hardware. Die Schwachstelle erfordert diese spezielle Speicherhardware und führt bei ausbleibenden FDMI-Antworten zu einem Treiberabsturz.
  • CVE-2020-26145Linux-Kernel auf Samsung-Galaxy-S3-Smartphones, die Meldung betrifft mobile WLAN-Hardware und keinen üblichen Serverbetrieb.
  • CVE-2025-38353Linux-Kernel, drm/xe-Grafiktreiber für Intel-GPUs. Die Meldung betrifft eine spezielle Grafikhardware und einen internen Wiederherstellungsfehler, nicht den allgemeinen Serverbetrieb.
  • CVE-2025-38731Linux-Kernel, betroffen ist der xe-Grafiktreiber für bestimmte Intel-Grafikgeräte; der Fehler führt bei lokaler Nutzung zu einem Denial of Service und betrifft keine typische Serverfunktion.
  • CVE-2025-39837Linux-Kernel, asus-wmi-Treiber für ASUS-Systeme. Die Schwachstelle betrifft konkurrierende Registrierungen spezieller ACPI- und Plattformtreiber und ist für allgemeine Webserver nicht relevant.
  • CVE-2022-50470Linux-Kernel, der Fehler betrifft nur die USB-Unterstützung auf Intel-Panther-Point-Systemen mit aktivierter Software-Bandbreitenprüfung und verursacht dort einen lokalen Absturz.
  • CVE-2025-39954Linux-Kernel-Treiber für Sunxi-Uhren, die Schwachstelle betrifft spezielle eingebettete Hardware und keinen gewöhnlichen Webserver.
  • CVE-2022-50712Linux-Kernel, die konkrete Meldung betrifft eine Sperrverletzung in netdevsim beim Zerstören von Snapshots und beschreibt höchstens eine lokale Denial-of-Service-Bedingung, keine unauthentifizierte Fernattacke.
  • CVE-2025-71102Linux-Kernel, die Auswirkung tritt nur bei aktivierter Debug-Option CONFIG_DEBUG_STACK_USAGE auf und betrifft keine üblichen Produktionskernel.
  • CVE-2025-71145Linux-Kernel-Treiber für die spezielle USB-Phy-Hardware ISP1301, die Schwachstelle setzt diese eingebettete Geräteplattform voraus.
  • CVE-2025-71180Linux-Kernel, die beschriebene IRQ-Sperrfehlerbehebung ist keine aus der Ferne ohne Anmeldung ausnutzbare Schwachstelle, sondern eine interne Kernel-Problematik.
  • CVE-2025-71225Linux-Kernel-RAID, die Schwachstelle setzt lokale Änderungen der RAID-Konfiguration über sysfs und damit bereits privilegierten Zugriff voraus.
  • CVE-2026-43476Linux-Kernel-Treiber für den SPS30-Feinstaubsensor, die Schwachstelle betrifft spezielle Sensorhardware und keinen gewöhnlichen Webserver.
  • CVE-2025-15467Der Meldungstext beschreibt eine Schwachstelle in OpenSSL beim Verarbeiten von CMS-Nachrichten, nicht in Oracle MySQL, sodass der Vorgang dem genannten Produkt nicht verlässlich zugeordnet werden kann.
  • CVE-2026-99285Linux-Kernel, der beschriebene Fehler betrifft die nftables-Byteordnungsumwandlung, eine von außen ohne Anmeldung auslösbare Schwachstelle ist aus den Angaben nicht ersichtlich.
  • CVE-2026-114690Red Hat Enterprise Linux mit mehreren distributionsspezifischen Paketen gehört nicht zur Debian- und Ubuntu-Produktwelt dieses Lagebilds.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-123860JetFormBuilder, unauthentifizierte Ausführung beliebiger Shortcodes in Versionen bis 3.6.8, ist bereits durch den gleichlautenden Vorgang CVE-2026-123483 abgedeckt.
  • CVE-2026-119370The Events Calendar, identische Meldung zur gespeicherten XSS bis Version 6.18.2, daher eine Doppelung von CVE-2026-119369.
  • CVE-2026-120365WP Customer Area, identische Schwachstelle und betroffene Version wie bei CVE-2026-119524, daher handelt es sich um eine Doppelung.