intelligent piXel

Lagebild

983Meldungen im letzten Lauf
1000betreffen Sie
226davon geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    WP Customer Area

    Gespeichertes Cross-Site-Scripting

    CVE-2026-116551

    Betrifft Sie, wenn Sie WP Customer Area bis einschließlich 8.4.0 einsetzen und ein Angreifer ein Konto mit Subscriber-Rechten oder höher hat.

    WP Customer Area ist bis einschließlich 8.4.0 für gespeichertes Cross-Site-Scripting anfällig. Laut Wordfence können angemeldete Angreifer mit Subscriber-Rechten oder höher über den Parameter „display_name“ beliebige Webskripte in Seiten einschleusen, die bei deren Aufruf ausgeführt werden.

    Wordfence bewertet die Lücke mit 6.4, also mittel. Ich stufe sie als mittlere Lücke mit erforderlicher Anmeldung ein.

    Aktualisieren Sie auf 8.4.1; eine Überbrückung nennt die Quelle nicht.

    Betroffen
    WP Customer Area
    Behoben in
    8.4.1
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 22,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Live Composer Free WordPress Website Builder

    Gespeichertes Cross-Site-Scripting

    CVE-2026-119073

    Betrifft Sie, wenn Sie Live Composer in einer Fassung vor 2.1.23 einsetzen und angemeldete Nutzer mit Beitragsrechten oder höher Zugriff haben.

    Live Composer verarbeitet eine Einstellung aus seinem Beitragslistenmodul nicht ausreichend. Dadurch können angemeldete Angreifer mit Beitragsrechten oder höher gespeicherte Cross-Site-Scripting-Angriffe in Seiten einschleusen. Die eingefügten Skripte werden ausgeführt, wenn jemand eine betroffene Seite aufruft.

    Die CISA bewertet die Lücke mit 6.8, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.1.23; die Quelle nennt keine Überbrückung.

    Betroffen
    Live Composer – Free WordPress Website Builder
    Behoben in
    2.1.23
    CVSS
    6.8
    Quelle CISA
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 21,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Add From Server Lite

    Gespeichertes Cross-Site-Scripting

    CVE-2026-121796

    Betrifft Sie, wenn Sie Add From Server Lite bis einschließlich 5.0.0 einsetzen und ein angemeldeter Benutzer Autorenrechte oder höher hat.

    Ich stufe die Lücke als mittel ein. Die CISA bewertet sie mit 6.8, also mittel. Es handelt sich um gespeichertes Cross-Site-Scripting durch unzureichende Eingabebereinigung und Ausgabevalidierung. Angemeldete Angreifer mit Autorenrechten oder höher können SVG-Dateien mit JavaScript hochladen und Skripte in Seiten einschleusen, die ausgeführt werden, sobald jemand eine manipulierte Seite aufruft.

    Aktualisieren Sie Add From Server Lite auf 6.0.0.

    Betroffen
    Add From Server Lite
    Behoben in
    6.0.0
    CVSS
    6.8
    Quelle CISA
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 21,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Magic Link

    Rechteausweitung

    CVE-2026-121848

    Betrifft Sie, wenn Sie Magic Link bis einschließlich 2.2.5 einsetzen und ein angemeldeter Benutzer mit Subscriber-Rechten oder höher Zugriff hat.

    Die Erweiterung prüft nicht, ob der Benutzer, der einen Anmeldelink anfordert, ihn für das gewählte Konto erzeugen darf. Ein angemeldeter Benutzer mit Subscriber-Rechten oder höher kann dadurch einen funktionierenden Anmeldelink für einen Administrator erzeugen und sich als dieser anmelden.

    Die CISA bewertet die Lücke mit 8.8, also hoch. Die Quelle beschreibt sie als Rechteausweitung und nennt eine Anmeldung als Voraussetzung. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie diese Woche auf 2.2.6.

    Betroffen
    Magic Link – Secure one click passwordless login
    Behoben in
    2.2.6
    CVSS
    8.8
    Quelle CISA
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 21,4
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Travelly

    Fehlende Berechtigungsprüfung

    CVE-2026-121794

    Betrifft Sie, wenn Sie Travelly bis einschließlich 2.3.11 einsetzen und ein Angreifer ein angemeldetes Konto mit Contributor-Rechten oder höher hat.

    Die Lücke umgeht die Berechtigungsprüfung. Angemeldete Angreifer mit Contributor-Rechten oder höher können gespeicherte Zugangsdaten für WooCommerce-Zahlungsdienste auf dem Bearbeitungsbildschirm einer Tour einsehen.

    Dazu gehören PayPal-API-Benutzername, Passwort und Signatur sowie geheime Stripe-Schlüssel für Test- und Live-Zahlungen. Die Quelle nennt einen CVSS-Wert von 6.5, also mittel nach Wordfence.

    Aktualisieren Sie Travelly auf 2.3.12.

    Betroffen
    Travelly – Tour & Travel Booking Manager for WooCommerce
    Behoben in
    2.3.12
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 21,1
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    AMP for WP – Accelerated Mobile Pages

    Ausführung beliebiger Shortcodes

    CVE-2026-103908

    Betrifft Sie, wenn Sie AMP for WP bis einschließlich Version 1.1.18 einsetzen und der standardmäßig aktivierte Ausgabe-Block genutzt werden kann.

    Angemeldete Angreifer mit einer benutzerdefinierten Rolle oder höher können beliebige Shortcodes ausführen. Die Erweiterung prüft einen Wert nicht ordnungsgemäß, bevor sie ihn verarbeitet.

    Wordfence bewertet die Lücke mit 5.4, also mittel. Die Quelle nennt die standardmäßig aktivierte Einstellung als Grund dafür, dass die große Mehrheit der Installationen ohne zusätzliche Änderung betroffen ist.

    Aktualisieren Sie auf Version 1.1.19.

    Betroffen
    AMP for WP – Accelerated Mobile Pages
    Behoben in
    1.1.19
    CVSS
    5.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 20,9
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    All-in-One Video Gallery

    Gespeichertes Cross-Site-Scripting

    CVE-2026-116545

    Betrifft Sie, wenn Sie All-in-One Video Gallery bis einschließlich 5.0.0 einsetzen und die Player Library auf Plyr oder Vidstack eingestellt ist.

    Ich stufe die Lücke als mittlere Schwachstelle ein. Wordfence bewertet sie mit 6,4, also mittel. Es handelt sich um gespeichertes DOM-basiertes Cross-Site-Scripting durch unzureichende Eingabebereinigung und Ausgabekodierung. Angemeldete Angreifer mit Subscriber-Rechten oder höher können beliebige Webskripte in Seiten einschleusen, die beim Aufruf einer solchen Seite ausgeführt werden.

    Die Ausnutzung setzt laut Quelle voraus, dass die Player Library auf Plyr oder Vidstack statt auf den standardmäßigen Video.js-Player eingestellt ist. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 5.1.0.

    Betroffen
    All-in-One Video Gallery
    Behoben in
    5.1.0
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 16,8
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Tournamatch

    Offenlegung von Informationen

    CVE-2026-121380

    Betrifft Sie, wenn Sie das WordPress-Plugin Tournamatch bis einschließlich 4.7.0 einsetzen. Unangemeldete Nutzer können sensible Daten abrufen.

    Die Lücke beschränkt den Zugriff auf die Liste eingeladener Teammitglieder nicht ausreichend. Unangemeldete Nutzer können laut Quelle die E-Mail-Adressen eingeladener Personen abrufen. Wordfence beschreibt außerdem den Abruf sensibler Nutzer- oder Konfigurationsdaten.

    Ich stufe sie als mittel ein. Die CISA bewertet sie mit 5.3, also mittel. Die Quelle nennt keine weitergehende Wirkung. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie diese Woche auf 4.7.1.

    Betroffen
    Tournamatch
    Behoben in
    4.7.1
    CVSS
    5.3
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 16,6
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Graphina – Charts and Graphs For Elementor

    Gespeichertes Cross-Site-Scripting

    CVE-2026-110291

    Betrifft Sie, wenn Sie das WordPress-Plugin Graphina – Charts and Graphs For Elementor in einer Version bis einschließlich 3.1.13 einsetzen.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabe maskierung. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die beim Aufruf einer manipulierten Seite ausgeführt werden.

    Wordfence bewertet die Lücke mit 7,2, also hoch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 3.1.14.

    Betroffen
    Graphina – Charts and Graphs For Elementor
    Behoben in
    3.1.14
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 16,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Pie Register

    Fehlende Berechtigungsprüfung

    CVE-2026-96961

    Betrifft Sie, wenn Sie das WordPress-Plugin „Pie Register – User Registration, Profiles & Content Restriction“ bis einschließlich 3.8.4.15 einsetzen.

    Die Quelle beschreibt eine fehlende Berechtigungs-, Nonce- und Authentifizierungsprüfung bei einer Anfragefunktion. Dadurch können nicht angemeldete Angreifer die Einstellungen des Plugins auf ihre Standardwerte zurücksetzen, darunter Sicherheitskontrollen für neue Benutzer, und eine Datentabelle des Plugins zerstören.

    Ich stufe die Lücke als mittel ein. Die CISA bewertet sie mit 6.5, also mittel. Eine Anmeldung ist laut Quelle nicht nötig.

    Aktualisieren Sie auf 3.8.4.16.

    Betroffen
    Pie Register
    Behoben in
    3.8.4.16
    CVSS
    6.5
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 16,0
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.11.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

226 geprüft und verworfen, mit Begründung
  • 125 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 27 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 9 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 7 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 6 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 4 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 3 MeldungenPostgreSQL, eine eigene Datenbankwelt mit eigenen Werkzeugen und Erweiterungen. WordPress speichert in MySQL oder MariaDB und kann mit PostgreSQL von Haus aus nicht arbeiten. Auf dem Server liegt PostgreSQL nur, wenn eine andere Anwendung es mitgebracht hat, und deren Betreiber kennt es.
  • CVE-2018-1000204Linux-Kernel für NVIDIA-Tegra- und spezielle Cloud-Hardware, die Schwachstelle betrifft keine allgemeine Serverinstallation, sondern eine besondere Plattformvariante.
  • CVE-2022-49623Linux-Kernel auf PowerPC mit XIVE, die Schwachstelle betrifft eine spezielle Serverhardware und ist nicht auf gewöhnlichen x86- oder ARM-Servern wirksam.
  • CVE-2022-49834Linux-Kernel, nilfs2-Dateisystem. Die Use-after-free-Lücke setzt eine lokale Remount-Situation mit bereits beschädigten Metadaten voraus und ist nicht von außen ohne Anmeldung auslösbar.
  • CVE-2025-37840Linux-Kernel, brcmnand-Treiber für Broadcom-STB-Hardware. Die Meldung betrifft eine spezielle Plattform und beschreibt eine Warnung beim Aufwachen aus dem Energiesparzustand, keine allgemeine Serverschwachstelle.
  • CVE-2025-38238Linux-Kernel, fnic-Treiber für Fibre-Channel-Hardware. Die Schwachstelle erfordert diese spezielle Speicherhardware und führt bei ausbleibenden FDMI-Antworten zu einem Treiberabsturz.
  • CVE-2020-26145Linux-Kernel auf Samsung-Galaxy-S3-Smartphones, die Meldung betrifft mobile WLAN-Hardware und keinen üblichen Serverbetrieb.
  • CVE-2025-38353Linux-Kernel, drm/xe-Grafiktreiber für Intel-GPUs. Die Meldung betrifft eine spezielle Grafikhardware und einen internen Wiederherstellungsfehler, nicht den allgemeinen Serverbetrieb.
  • CVE-2025-38731Linux-Kernel, betroffen ist der xe-Grafiktreiber für bestimmte Intel-Grafikgeräte; der Fehler führt bei lokaler Nutzung zu einem Denial of Service und betrifft keine typische Serverfunktion.
  • CVE-2025-39837Linux-Kernel, asus-wmi-Treiber für ASUS-Systeme. Die Schwachstelle betrifft konkurrierende Registrierungen spezieller ACPI- und Plattformtreiber und ist für allgemeine Webserver nicht relevant.
  • CVE-2022-50470Linux-Kernel, der Fehler betrifft nur die USB-Unterstützung auf Intel-Panther-Point-Systemen mit aktivierter Software-Bandbreitenprüfung und verursacht dort einen lokalen Absturz.
  • CVE-2025-39954Linux-Kernel-Treiber für Sunxi-Uhren, die Schwachstelle betrifft spezielle eingebettete Hardware und keinen gewöhnlichen Webserver.
  • CVE-2022-50712Linux-Kernel, die konkrete Meldung betrifft eine Sperrverletzung in netdevsim beim Zerstören von Snapshots und beschreibt höchstens eine lokale Denial-of-Service-Bedingung, keine unauthentifizierte Fernattacke.
  • CVE-2025-71102Linux-Kernel, die Auswirkung tritt nur bei aktivierter Debug-Option CONFIG_DEBUG_STACK_USAGE auf und betrifft keine üblichen Produktionskernel.
  • CVE-2025-71145Linux-Kernel-Treiber für die spezielle USB-Phy-Hardware ISP1301, die Schwachstelle setzt diese eingebettete Geräteplattform voraus.
  • CVE-2025-71180Linux-Kernel, die beschriebene IRQ-Sperrfehlerbehebung ist keine aus der Ferne ohne Anmeldung ausnutzbare Schwachstelle, sondern eine interne Kernel-Problematik.
  • CVE-2025-71225Linux-Kernel-RAID, die Schwachstelle setzt lokale Änderungen der RAID-Konfiguration über sysfs und damit bereits privilegierten Zugriff voraus.
  • CVE-2026-43476Linux-Kernel-Treiber für den SPS30-Feinstaubsensor, die Schwachstelle betrifft spezielle Sensorhardware und keinen gewöhnlichen Webserver.
  • CVE-2025-15467Der Meldungstext beschreibt eine Schwachstelle in OpenSSL beim Verarbeiten von CMS-Nachrichten, nicht in Oracle MySQL, sodass der Vorgang dem genannten Produkt nicht verlässlich zugeordnet werden kann.
  • CVE-2026-99285Linux-Kernel, der beschriebene Fehler betrifft die nftables-Byteordnungsumwandlung, eine von außen ohne Anmeldung auslösbare Schwachstelle ist aus den Angaben nicht ersichtlich.
  • CVE-2026-114690Red Hat Enterprise Linux mit mehreren distributionsspezifischen Paketen gehört nicht zur Debian- und Ubuntu-Produktwelt dieses Lagebilds.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-123860JetFormBuilder, unauthentifizierte Ausführung beliebiger Shortcodes in Versionen bis 3.6.8, ist bereits durch den gleichlautenden Vorgang CVE-2026-123483 abgedeckt.
  • CVE-2026-120365WP Customer Area, identische Schwachstelle und betroffene Version wie bei CVE-2026-119524, daher handelt es sich um eine Doppelung.
  • CVE-2026-120843Posts Table with Search & Sort betrifft dieselbe gespeicherte Cross-Site-Scripting-Schwachstelle bis Version 1.4.14 wie CVE-2026-118189 und ist daher eine Doppelung.
  • CVE-2026-125680Bold Page Builder ist bereits mit CVE-2026-125455 für dieselbe Schwachstelle in den Versionen bis 5.9.11 erfasst, daher handelt es sich um eine Doppelung.