intelligent piXel

Lagebild

983Meldungen im letzten Lauf
1000betreffen Sie
226davon geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    ELEX WordPress HelpDesk & Customer Ticketing System

    Löschen von Dateien

    CVE-2026-114630

    Betrifft Sie, wenn Sie das WordPress Plugin ELEX WordPress HelpDesk & Customer Ticketing System bis einschließlich 3.3.8 einsetzen.

    Die Lücke erlaubt laut Quelle die Löschung beliebiger Dateien auf dem Server. Dafür ist keine Anmeldung nötig. Ursache ist eine unzureichende Prüfung des Dateipfads in der Funktion factory_reset.

    Ich stufe sie als kritisch ein. Wordfence bewertet sie mit 9.1, also kritisch. Die Quelle nennt als mögliche Folge eine Ausführung von Schadcode, wenn die passende Datei gelöscht wird, etwa wp-config.php.

    Aktualisieren Sie auf 3.3.9.

    Betroffen
    ELEX WordPress HelpDesk & Customer Ticketing System
    Behoben in
    3.3.9
    CVSS
    9.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    1,32 %
    Perzentil 71,4
    Art
    CWE-22
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Product Feed Manager for WooCommerce

    Codeausführung

    CVE-2026-87964

    Betrifft Sie, wenn Sie das Plugin bis einschließlich Version 8.0.26 einsetzen und ein Angreifer mit Shop-Manager-Rechten oder höher sich anmelden kann.

    Die Lücke ist eine PHP-Code-Injection. Wordfence bewertet sie mit 7.2, also hoch. Sie setzt eine Anmeldung mit Shop-Manager-Rechten oder höher voraus und kann laut Quelle zur Ausführung beliebigen PHP-Codes, zur Ausweitung von Rechten sowie zu vollständiger Codeausführung aus der Ferne und zur Übernahme der Website führen.

    Ich stufe sie als diese Woche ein. Die Quelle nennt keine Ausnutzungswahrscheinlichkeit, und die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf Version 8.0.27.

    Betroffen
    Product Feed Manager for WooCommerce
    Behoben in
    8.0.27
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,95 %
    Perzentil 61,7
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Live2DWebCanvas

    Hochladen beliebiger Dateien

    CVE-2026-92895

    Betrifft Sie, wenn Sie Live2DWebCanvas bis einschließlich 2.2.1 einsetzen.

    Live2DWebCanvas akzeptiert beliebige Datei-Uploads ohne Anmeldung. Dateien können ausführbar sein. Eine Remote-Codeausführung ist möglich, wenn die Einstellung apiType auf custom-local steht. Diese Option ist nicht voreingestellt, erfordert eine kostenpflichtige Lizenz und schreibt REST-Nonce sowie einmalige Sitzungstoken in jede Frontend-Seite.

    Wordfence bewertet die Lücke mit 8.1, also hoch. Ich stufe sie trotz der zusätzlichen Bedingung für die mögliche Codeausführung als Befund für diese Woche ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Live2DWebCanvas
    CVSS
    8.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,92 %
    Perzentil 60,7
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche BSI CERT-Bund

    MariaDB

    CVE-2026-102523

    Betrifft Sie, wenn Sie MariaDB einsetzen und ein angemeldeter Datenbankbenutzer einen Partitionsnamen verwendet, der Dateinamen-Escapierung erfordert.

    MariaDB wendet beim Umwandeln einer Partition die Dateinamen-Escapierung nicht auf benutzerdefinierte Partitionsnamen an. Ein angemeldeter Datenbankbenutzer kann dadurch auf Tabellendateien zugreifen, für die er nicht berechtigt ist, und sie lesen oder verändern.

    Die CVSS-Bewertung bei GitHub lautet 8,0, also hoch. Das BSI stuft die Schwachstelle ebenfalls als hoch ein.

    Aktualisieren Sie auf 13.0.2. Für ältere Zweige nennt die Quelle 12.3.3, 11.8.9, 11.4.13 und 10.11.19.

    Betroffen
    MariaDB
    CVSS
    8.0
    Quelle GitHub
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,75 %
    Perzentil 55,5
    Art
    CWE-73
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026
    aktualisiert am 09.11.2026

    Quellen: NVD · EPSS · BSI CERT-Bund

  5. Diese Woche Wordfence

    BuddyForms

    Rechteausweitung

    CVE-2026-107622

    Betrifft Sie, wenn Sie eine verwundbare BuddyForms-Fassung einsetzen, ein öffentliches Formular haben und die WordPress-Registrierung für alle offen ist.

    Die Quelle beschreibt eine kritische Rechteausweitung ohne Anmeldung durch eine Verwechslung des Formulartyps. Sie bewertet die Lücke mit 9.8, also kritisch, nach Wordfence. Ein Angreifer kann dadurch ein Konto mit Administratorrechten anlegen und die Website vollständig übernehmen.

    Die Lücke steht nicht im KEV-Katalog der CISA. Ich stufe sie wegen der fehlenden Anmeldung und der möglichen Administratorrechte trotzdem als relevant ein.

    Aktualisieren Sie BuddyForms auf 2.10.6.

    Betroffen
    BuddyForms
    Behoben in
    2.10.6
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,74 %
    Perzentil 55,0
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    WPSyncSheets For Contact Form 7

    PHP-Object-Injection

    CVE-2026-104010

    Betrifft Sie, wenn Sie WPSyncSheets For Contact Form 7 bis einschließlich Version 1.8.0 einsetzen. Die Quelle nennt keine weitere Voraussetzung.

    Die Quelle beschreibt eine PHP Object Injection in WPSyncSheets For Contact Form 7. Nicht angemeldete Angreifer können dadurch Code auf dem Server ausführen. Die erfolgreiche Codeausführung setzt laut Quelle ein konfiguriertes Google-Sheets-Zugriffstoken voraus. Die zugrunde liegende PHP Object Injection tritt laut Quelle unabhängig davon auf.

    Wordfence bewertet die Lücke mit 7,5, also hoch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf Version 1.8.1.

    Betroffen
    WPSyncSheets For Contact Form 7
    Behoben in
    1.8.1
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,58 %
    Perzentil 48,1
    Art
    CWE-502
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Advanced Members for ACF

    Rechteausweitung

    CVE-2026-116624

    Betrifft Sie, wenn Sie Advanced Members for ACF bis einschließlich 1.3.0 einsetzen und ein angemeldeter Benutzer Subscriber-Rechte oder höher hat.

    Die Erweiterung enthält eine Rechteausweitung. Ein angemeldeter Benutzer mit Subscriber-Rechten oder höher kann das Passwort des primären Administratorkontos überschreiben und dadurch vollständigen administrativen Zugriff auf die Website erhalten.

    Wordfence bewertet die Lücke mit 8,8, also hoch. Ich stufe sie trotz erforderlicher Anmeldung als diese Woche ein, weil die Quelle den Zugriff auf das primäre Administratorkonto beschreibt.

    Aktualisieren Sie Advanced Members for ACF auf 1.3.1.

    Betroffen
    Advanced Members for ACF
    Behoben in
    1.3.1
    CVSS
    8.8
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,50 %
    Perzentil 43,2
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Everest Forms

    Unsicherer direkter Objektzugriff (IDOR)

    CVE-2026-89101

    Betrifft Sie, wenn Sie Everest Forms bis einschließlich 3.6.2 einsetzen und ein angemeldeter Benutzer Custom-Rechte oder höhere Rechte hat.

    Wordfence beschreibt eine unsichere direkte Objektreferenz. Angemeldete Angreifer mit Custom-Rechten oder höheren Rechten können Formulare und Einträge anderer Benutzer ansehen, lesen und dauerhaft löschen, unabhängig vom Eigentum am Formular.

    Wordfence bewertet die Lücke mit 6,5, also mittel. Die Quelle nennt als mögliche Inhalte auch personenbezogene Daten aus öffentlichen Kontakt- und Leadformularen.

    Aktualisieren Sie auf 3.6.3.

    Betroffen
    Everest Forms
    Behoben in
    3.6.3
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,41 %
    Perzentil 36,2
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports

    SQL-Injection

    CVE-2026-109977

    Betrifft Sie, wenn Sie YaySMTP bis einschließlich 2.7.8 einsetzen und ein Angreifer sich mit Administratorrechten oder höher anmelden kann.

    Ich stufe die Lücke als mittel ein. Wordfence bewertet sie mit 4.9, also mittel. Es handelt sich um eine zeitbasierte SQL-Injection durch unzureichende Verarbeitung einer Benutzereingabe.

    Ein authentifizierter Angreifer mit Administratorrechten oder höher kann zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und damit sensible Informationen aus der Datenbank auslesen.

    Aktualisieren Sie YaySMTP auf 2.7.9.

    Betroffen
    YaySMTP – WP Mail SMTP with Email Logs, Tracking & Reports
    Behoben in
    2.7.9
    CVSS
    4.9
    Quelle Wordfence
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,40 %
    Perzentil 35,0
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Fiber Admin

    Codeausführung

    CVE-2026-121491

    Betrifft Sie, wenn Sie Fiber Admin in den Versionen 3.1.0 bis 4.0.0 einsetzen. Die Quelle beschreibt Codeausführung ohne Anmeldung.

    Ich stufe die Lücke als kritisch ein. Die CISA bewertet sie mit 9.0, also kritisch. Wordfence beschreibt eine Ausführung beliebigen Codes auf dem Server durch nicht angemeldete Angreifer.

    Die NVD nennt als zusätzliche Bedingungen eine aktivierte eigene Datenbankfehlerseite und einen zeitlichen Wettlauf beim Speichern der Einstellungen durch einen Administrator. Die Quelle beschreibt damit eine konkrete, aber kritische Schwachstelle in einer WordPress-Erweiterung.

    Aktualisieren Sie auf 4.0.1.

    Betroffen
    Fiber Admin
    Behoben in
    4.0.1
    CVSS
    9.0
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,40 %
    Perzentil 34,3
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

226 geprüft und verworfen, mit Begründung
  • 125 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 27 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 9 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 7 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 6 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 4 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 3 MeldungenPostgreSQL, eine eigene Datenbankwelt mit eigenen Werkzeugen und Erweiterungen. WordPress speichert in MySQL oder MariaDB und kann mit PostgreSQL von Haus aus nicht arbeiten. Auf dem Server liegt PostgreSQL nur, wenn eine andere Anwendung es mitgebracht hat, und deren Betreiber kennt es.
  • CVE-2018-1000204Linux-Kernel für NVIDIA-Tegra- und spezielle Cloud-Hardware, die Schwachstelle betrifft keine allgemeine Serverinstallation, sondern eine besondere Plattformvariante.
  • CVE-2022-49623Linux-Kernel auf PowerPC mit XIVE, die Schwachstelle betrifft eine spezielle Serverhardware und ist nicht auf gewöhnlichen x86- oder ARM-Servern wirksam.
  • CVE-2022-49834Linux-Kernel, nilfs2-Dateisystem. Die Use-after-free-Lücke setzt eine lokale Remount-Situation mit bereits beschädigten Metadaten voraus und ist nicht von außen ohne Anmeldung auslösbar.
  • CVE-2025-37840Linux-Kernel, brcmnand-Treiber für Broadcom-STB-Hardware. Die Meldung betrifft eine spezielle Plattform und beschreibt eine Warnung beim Aufwachen aus dem Energiesparzustand, keine allgemeine Serverschwachstelle.
  • CVE-2025-38238Linux-Kernel, fnic-Treiber für Fibre-Channel-Hardware. Die Schwachstelle erfordert diese spezielle Speicherhardware und führt bei ausbleibenden FDMI-Antworten zu einem Treiberabsturz.
  • CVE-2020-26145Linux-Kernel auf Samsung-Galaxy-S3-Smartphones, die Meldung betrifft mobile WLAN-Hardware und keinen üblichen Serverbetrieb.
  • CVE-2025-38353Linux-Kernel, drm/xe-Grafiktreiber für Intel-GPUs. Die Meldung betrifft eine spezielle Grafikhardware und einen internen Wiederherstellungsfehler, nicht den allgemeinen Serverbetrieb.
  • CVE-2025-38731Linux-Kernel, betroffen ist der xe-Grafiktreiber für bestimmte Intel-Grafikgeräte; der Fehler führt bei lokaler Nutzung zu einem Denial of Service und betrifft keine typische Serverfunktion.
  • CVE-2025-39837Linux-Kernel, asus-wmi-Treiber für ASUS-Systeme. Die Schwachstelle betrifft konkurrierende Registrierungen spezieller ACPI- und Plattformtreiber und ist für allgemeine Webserver nicht relevant.
  • CVE-2022-50470Linux-Kernel, der Fehler betrifft nur die USB-Unterstützung auf Intel-Panther-Point-Systemen mit aktivierter Software-Bandbreitenprüfung und verursacht dort einen lokalen Absturz.
  • CVE-2025-39954Linux-Kernel-Treiber für Sunxi-Uhren, die Schwachstelle betrifft spezielle eingebettete Hardware und keinen gewöhnlichen Webserver.
  • CVE-2022-50712Linux-Kernel, die konkrete Meldung betrifft eine Sperrverletzung in netdevsim beim Zerstören von Snapshots und beschreibt höchstens eine lokale Denial-of-Service-Bedingung, keine unauthentifizierte Fernattacke.
  • CVE-2025-71102Linux-Kernel, die Auswirkung tritt nur bei aktivierter Debug-Option CONFIG_DEBUG_STACK_USAGE auf und betrifft keine üblichen Produktionskernel.
  • CVE-2025-71145Linux-Kernel-Treiber für die spezielle USB-Phy-Hardware ISP1301, die Schwachstelle setzt diese eingebettete Geräteplattform voraus.
  • CVE-2025-71180Linux-Kernel, die beschriebene IRQ-Sperrfehlerbehebung ist keine aus der Ferne ohne Anmeldung ausnutzbare Schwachstelle, sondern eine interne Kernel-Problematik.
  • CVE-2025-71225Linux-Kernel-RAID, die Schwachstelle setzt lokale Änderungen der RAID-Konfiguration über sysfs und damit bereits privilegierten Zugriff voraus.
  • CVE-2026-43476Linux-Kernel-Treiber für den SPS30-Feinstaubsensor, die Schwachstelle betrifft spezielle Sensorhardware und keinen gewöhnlichen Webserver.
  • CVE-2025-15467Der Meldungstext beschreibt eine Schwachstelle in OpenSSL beim Verarbeiten von CMS-Nachrichten, nicht in Oracle MySQL, sodass der Vorgang dem genannten Produkt nicht verlässlich zugeordnet werden kann.
  • CVE-2026-99285Linux-Kernel, der beschriebene Fehler betrifft die nftables-Byteordnungsumwandlung, eine von außen ohne Anmeldung auslösbare Schwachstelle ist aus den Angaben nicht ersichtlich.
  • CVE-2026-114690Red Hat Enterprise Linux mit mehreren distributionsspezifischen Paketen gehört nicht zur Debian- und Ubuntu-Produktwelt dieses Lagebilds.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-123860JetFormBuilder, unauthentifizierte Ausführung beliebiger Shortcodes in Versionen bis 3.6.8, ist bereits durch den gleichlautenden Vorgang CVE-2026-123483 abgedeckt.
  • CVE-2026-120365WP Customer Area, identische Schwachstelle und betroffene Version wie bei CVE-2026-119524, daher handelt es sich um eine Doppelung.
  • CVE-2026-120843Posts Table with Search & Sort betrifft dieselbe gespeicherte Cross-Site-Scripting-Schwachstelle bis Version 1.4.14 wie CVE-2026-118189 und ist daher eine Doppelung.
  • CVE-2026-125680Bold Page Builder ist bereits mit CVE-2026-125455 für dieselbe Schwachstelle in den Versionen bis 5.9.11 erfasst, daher handelt es sich um eine Doppelung.