intelligent piXel

Lagebild

1.016Meldungen gelesen
1000betreffen Sie
16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Sofort Wordfence

    Optimole

    CVE-2026-120739

    Betrifft Sie, wenn Sie Optimole bis einschließlich 4.2.18 einsetzen und eine Seite mit unvollständigem Profil haben. Laut Quelle ist dafür keine Anmeldung nötig.

    Optimole verarbeitet Eingaben unzureichend und gibt sie ungeschützt aus. Dadurch können Fremde ohne Anmeldung Webskripte in Seiten einfügen, die ausgeführt werden, sobald jemand eine manipulierte Seite aufruft.

    Wordfence bewertet die Lücke mit 7.2, also hoch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 4.2.19.

    Betroffen
    Optimole – Optimize Images
    Behoben in
    4.2.19
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 27,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    wpForo Forum

    CVE-2026-95870

    Betrifft Sie, wenn Sie wpForo Forum bis einschließlich 3.2.1 einsetzen und ein durchsuchbares Themenformular mit Kontrollkästchen oder aktivierter Mehrfachauswahl registriert ist.

    wpForo Forum enthält eine SQL-Injection über den Parameter „data“. Die Wordfence bewertet sie mit 7,5, also hoch. Eine Anmeldung ist laut Quelle nicht nötig.

    Nicht authentifizierte Angreifer können zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und dadurch sensible Informationen aus der Datenbank auslesen. Die Quelle nennt als Voraussetzung ein registriertes durchsuchbares Themenformular mit einem Feld vom Typ Kontrollkästchen oder einem Auswahlfeld mit aktivierter Mehrfachauswahl.

    Aktualisieren Sie auf 3.2.2.

    Betroffen
    wpForo Forum
    Behoben in
    3.2.2
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 25,5
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    YML for Yandex Market

    CVE-2026-120548

    Betrifft Sie, wenn Sie YML for Yandex Market bis 5.10.0 einsetzen, ein Feed einen Yandex-Market-API-Schlüssel speichert und die Protokollierung aktiviert ist.

    Das Plugin legt den als Klartext gespeicherten Yandex-Market-API-Schlüssel in einer öffentlich erreichbaren Protokolldatei ab. Ein Angreifer braucht dafür keine Anmeldung. Die Quelle nennt als Folge die vollständige Kontrolle über Katalog, Preise und Bestand des Marktplatzes.

    Wordfence bewertet die Lücke mit 5.3, also mittel. Ich stufe sie als sofort ein, weil ein API-Schlüssel ohne Anmeldung offengelegt werden kann. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 5.11.0.

    Betroffen
    YML for Yandex Market
    Behoben in
    5.11.0
    CVSS
    5.3
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 24,7
    Art
    CWE-532
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Sofort Wordfence

    TranslatePress

    CVE-2026-119167

    Betrifft Sie, wenn Sie TranslatePress bis einschließlich 3.3.8 einsetzen, eine sekundäre Sprache eingerichtet ist und ein früherer Kommentar des Namens-E-Mail-Paars freigegeben wurde.

    Ich stufe die Lücke als hoch ein. Wordfence bewertet sie mit 7.2, also hoch. Es handelt sich um gespeichertes Cross-Site-Scripting über den Kommentarparameter. Unzureichende Eingabeprüfung und Ausgabeaufbereitung ermöglichen es nicht angemeldeten Angreifern, beliebige Webskripte in Seiten einzuschleusen.

    Die Skripte werden ausgeführt, sobald ein Benutzer eine betroffene Seite aufruft. Für eine erfolgreiche Ausnutzung nennt die Quelle außerdem eine freigegebene frühere Nachricht desselben Namens-E-Mail-Paars unter der standardmäßigen WordPress-Kommentarmoderation und eine eingerichtete sekundäre Sprache.

    Aktualisieren Sie TranslatePress auf 3.3.9.

    Betroffen
    TranslatePress
    Behoben in
    3.3.9
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 23,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Sofort Wordfence

    Form Maker by 10Web

    CVE-2026-118067

    Betrifft Sie, wenn Sie Form Maker by 10Web bis einschließlich 1.15.50 einsetzen und das betroffene Formular ein File-Upload-Feld enthält.

    Eine gespeicherte Cross-Site-Scripting-Lücke. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen. Die Quelle nennt als Auslöser den Zugriff auf eine eingeschleuste Seite und führt aus, dass die Ausführung erfolgt, wenn ein Administrator die Einsendungsseite des betroffenen Formulars öffnet.

    Wordfence bewertet die Lücke mit 5,4, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.15.51.

    Betroffen
    Form Maker by 10Web
    Behoben in
    1.15.51
    CVSS
    5.4
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 23,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Sofort Wordfence

    Jupiter X Core

    CVE-2026-120737

    Betrifft Sie, wenn Sie Jupiter X Core bis einschließlich 4.62.0 einsetzen und ein Posts- oder Advanced-Posts-Widget als Archivvorlage aktiviert ist.

    Eine fehlende Autorisierungsprüfung erlaubt nicht angemeldeten Angreifern, veröffentlichte Inhaltstypen aufzulisten und darzustellen, die nicht öffentlich gelistet werden sollen. Die Quelle nennt dabei auch Flamingo-CF7-Einträge mit Namen, E-Mail-Adressen, Telefonnummern, vollständigen Nachrichten und IP-Adressen sowie Lesezugriffe auf Metadaten veröffentlichter Beiträge.

    Die Quelle bewertet die Lücke mit 5,9 nach CVSS, also mittel nach Wordfence. Die Voraussetzung mit dem Posts- oder Advanced-Posts-Widget und aktivierter Archivvorlage nennt sie ausdrücklich. Ich stufe sie als mittel ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 4.63.0; die Quelle nennt keine Überbrückung.

    Betroffen
    Jupiter X Core
    Behoben in
    4.63.0
    CVSS
    5.9
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 22,7
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Sofort Wordfence

    Optimole – Optimize Images

    CVE-2026-120677

    Betrifft Sie, wenn Sie Optimole bis einschließlich 4.2.18 einsetzen und ein Administrator Kommentare in Beiträgen mit Video oder iframe freigibt.

    Eine unzureichende Prüfung und Ausgabe von Kommentarinhalt ermöglicht gespeichertes Cross-Site-Scripting. Eine Anmeldung ist laut Quelle nicht nötig. Eingeschleuste Webskripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft.

    Die Quelle nennt als Voraussetzungen einen von einem Administrator freigegebenen Kommentar und mindestens ein Video- oder iframe-Element im betroffenen Beitrag. Wordfence bewertet die Lücke mit 7,2, also hoch.

    Aktualisieren Sie auf 4.2.19.

    Betroffen
    Optimole – Optimize Images
    Behoben in
    4.2.19
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 22,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Sofort Wordfence

    Strong Testimonials

    CVE-2026-115811

    Betrifft Sie, wenn Sie Strong Testimonials bis einschließlich 3.3.16 einsetzen. Für die Ausführung muss ein Administrator die Standardvorschau öffnen.

    Ich stufe die Lücke als hoch ein. Wordfence bewertet sie mit 7.2, also hoch. Es handelt sich um gespeichertes Cross-Site Scripting durch unzureichende Eingabebereinigung und Ausgabe maskierung.

    Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, wenn jemand eine manipulierte Seite aufruft. Für eine erfolgreiche Ausführung muss ein Administrator den Standardvorschau-Link eines ausstehenden Testimonials öffnen. Der normale Moderationsablauf lädt dazu ein.

    Aktualisieren Sie auf 3.3.17.

    Betroffen
    Strong Testimonials
    Behoben in
    3.3.17
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 21,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Sofort Wordfence

    Quiz and Survey Master (QSM)

    CVE-2026-103917

    Betrifft Sie, wenn Sie das WordPress-Plugin Quiz and Survey Master (QSM) bis einschließlich Version 11.2.7 für Ihre WordPress-Seite einsetzen.

    Die Erweiterung führt beliebige Shortcodes aus, ohne einen übergebenen Wert ausreichend zu prüfen. Das können Angreifer ohne Anmeldung auslösen. Die Quelle beschreibt keine weitere Wirkung.

    Ich stufe die Lücke mit 6,5 als mittel ein. Die Bewertung stammt von Wordfence. Der öffentlich ausgegebene Nonce-Wert dient dabei als CSRF-Schutz, nicht als Zugriffsschranke.

    Aktualisieren Sie Quiz and Survey Master (QSM) auf Version 11.2.8.

    Betroffen
    Quiz and Survey Master (QSM) – Quiz Maker & Survey Maker
    Behoben in
    11.2.8
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 20,7
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Sofort Wordfence

    QODE Wishlist for WooCommerce

    CVE-2026-121516

    Betrifft Sie, wenn Sie das QODE Wishlist for WooCommerce-Plugin auf einer WordPress-Seite in einer Fassung bis einschließlich 1.2.9 einsetzen.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabeabsicherung. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die ausgeführt werden, sobald ein Benutzer eine betroffene Seite aufruft. Dafür ist zusätzlich eine Handlung eines Administrators erforderlich; der Angreifer kann die Lücke nicht selbst auslösen.

    Wordfence bewertet die Lücke mit 6.1, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.3.0.

    Betroffen
    QODE Wishlist for WooCommerce
    Behoben in
    1.3.0
    CVSS
    6.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 20,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    06.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

16 geprüft und verworfen, mit Begründung
  • 110 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 10 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 9 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 7 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 6 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 5 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • CVE-2016-10044Linux-Kernel, lokale Rechteausweitung über aio_mount, der Angriff erfordert bereits einen lokalen Benutzer und die historische Lücke ist für den üblichen Serverbetrieb nicht von besonderer Tragweite.
  • CVE-2024-57950Linux-Kernel, lokale Rechteausweitung und Denial of Service. Der Angriff erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2020-36789Linux-Kernel im CAN-Netzwerkstapel, die Schwachstelle setzt einen lokalen Angreifer und CAN-Hardware voraus und betrifft damit eine spezielle Hardwareumgebung.
  • CVE-2025-37800Linux-Kernel, der beschriebene Absturz erfordert den lokalen Zugriff eines Prozesses auf das Geräteattribut und ist zudem auf einen Denial of Service begrenzt.
  • CVE-2025-38177Linux-Kernel, die gemeldete Denial-of-Service-Schwachstelle erfordert einen lokalen Angreifer mit Konto oder laufendem Prozess.
  • CVE-2025-38236Linux-Kernel, lokale Use-after-free-Schwachstelle, deren Ausnutzung ein bereits vorhandenes Konto oder einen laufenden Prozess auf der Maschine voraussetzt.
  • CVE-2020-24588Linux-Kernel im 802.11-WLAN-Stapel, die Ausnutzung setzt WLAN-Hardware und den Empfang speziell präparierter Funkrahmen voraus.
  • CVE-2022-50583Linux-Kernel, die konkrete Schwachstelle betrifft die RAID0- und RAID10-Blockgerätebehandlung und führt zu einem lokalen Denial of Service, nicht zu einem entfernten Angriff.
  • CVE-2026-13149Red Hat Ansible Automation Platform ist eine Unternehmensplattform zur Automatisierung und kein typischer Bestandteil eines Linux-Webservers mit WordPress.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-115965BuddyPress, SQL-Injection ab der Abonnentenrolle, ist bereits mit CVE-2026-111850 als dieselbe Schwachstelle mit identischer fehlerbereinigter Version 14.5.3 erfasst.
  • CVE-2026-119370The Events Calendar, identische Meldung zur gespeicherten XSS bis Version 6.18.2, daher eine Doppelung von CVE-2026-119369.
  • CVE-2026-120843Posts Table with Search & Sort betrifft dieselbe gespeicherte Cross-Site-Scripting-Schwachstelle bis Version 1.4.14 wie CVE-2026-118189 und ist daher eine Doppelung.
  • bsi:https://wid.cert-bund.de/portal/wid/securityadvisory?namQuellenlage zu duenn fuer einen eigenen Eintrag. Die Meldung besteht aus einem Satz, alles Weitere waere geraten.