intelligent piXel

Lagebild

861Meldungen gelesen
600betreffen Sie
261geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 600 Einträgen
  1. Sofort Wordfence

    Return Refund and Exchange For WooCommerce

    CVE-2026-81799

    Betrifft Sie, wenn Sie das WordPress-Plugin Return Refund and Exchange For WooCommerce bis einschließlich 4.6.4 einsetzen.

    Die Erweiterung prüft bei einer Funktion die erforderliche Berechtigung nicht. Dadurch kann ein nicht angemeldeter Angreifer eine nicht autorisierte Aktion ausführen. Ich stufe das als fehlende Zugriffskontrolle ein.

    Die Quelle nennt keine weiteren Auswirkungen. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Return Refund and Exchange For WooCommerce
    CVSS
    7.5
    Quelle audit@patchstack.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,22 %
    Perzentil 12,3
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    Simple CAPTCHA with Cloudflare Turnstile

    CVE-2026-66632

    Betrifft Sie, wenn Sie Simple CAPTCHA with Cloudflare Turnstile bis einschließlich 1.42.1 einsetzen und Seiten mit Contact Form 7 betreiben.

    Die Quelle beschreibt eine nicht authentifizierte Ausführung beliebiger Shortcodes. Dadurch kann beliebige Shortcode-Ausgabe in Seiten mit Contact Form 7 eingeschleust werden. Zur weitergehenden Wirkung nennt die Quelle keine Einzelheiten.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 1.42.3; die Quelle nennt keine Überbrückung.

    Betroffen
    Simple CAPTCHA with Cloudflare Turnstile
    Behoben in
    1.42.3
    CVSS
    6.5
    Quelle audit@patchstack.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 12,0
    Art
    CWE-94
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    Ultimate Gift Cards for WooCommerce

    CVE-2026-19436

    Betrifft Sie, wenn Sie das WordPress-Plugin Ultimate Gift Cards for WooCommerce in einer Fassung vor 3.2.10 einsetzen.

    Die Quelle beschreibt eine Umgehung der Zahlung. Nicht angemeldete Angreifer können dadurch ein Geschenkkarten-Guthaben erhalten, das höher ist als der tatsächlich bezahlte Betrag.

    Ich stufe die Meldung als sofort ein. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 3.2.10. Die Quelle nennt keine Überbrückung.

    Betroffen
    Ultimate Gift Cards for WooCommerce
    Behoben in
    3.2.10
    CVSS
    7.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 11,3
    Art
    CWE-284
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Sofort Wordfence

    Salon Booking System

    CVE-2026-81793

    Betrifft Sie, wenn Sie das WordPress-Plugin Salon Booking System bis einschließlich 10.31.5 einsetzen.

    Die Erweiterung prüft bei einer Funktion die nötige Berechtigung nicht. Dadurch können nicht angemeldete Angreifer eine unberechtigte Aktion ausführen.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Salon Booking System – Appointment Booking for Salons, Barbershops & Spas
    CVSS
    6.5
    Quelle audit@patchstack.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 10,8
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Sofort Wordfence

    miniOrange 2FA

    CVE-2026-77771

    Betrifft Sie, wenn Sie miniOrange 2FA in Version 6.2.8 bis 6.3.0 einsetzen. Die Quelle beschreibt eine Umgehung der 2FA-Anmeldung.

    Die Quelle beschreibt eine Umgehung des 2. Faktors, die nicht angemeldete Angreifer ermöglichen kann. Ich stufe die Meldung deshalb als sofort behandlungsbedürftig ein.

    Die NVD nennt als Bedingung, dass ein Angreifer das Passwort des Opfers bereits kennt. Sie beschreibt außerdem unbegrenzt mögliche Einmalcode-Versuche und einen Validierungsendpunkt ohne Versuchslimit. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzt geführter Lücke.

    Aktualisieren Sie auf 6.3.1 oder 19.3.

    Betroffen
    miniOrange 2FA – Two Factor Authentication for WordPress (OTP, SMS, Email, Google Authenticator)
    Behoben in
    19.3, 6.3.1
    CVSS
    7.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 9,0
    Art
    CWE-287
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Sofort Wordfence

    WP Compress – Instant Performance & Speed Optimization

    Wordfence-Meldung

    Betrifft Sie, wenn Sie WP Compress bis einschließlich 7.22.01 in einer frischen oder Lite/Free-Installation ohne gespeicherten api_key einsetzen.

    Eine fehlende Autorisierungsprüfung erlaubt nicht angemeldeten Angreifern, die Website mit einem von ihnen kontrollierten WP-Compress-Konto zu verknüpfen und Plugin-Einstellungen zu überschreiben. Ich stufe das als ernst ein, weil dabei der gemeinsame api_key offengelegt werden kann.

    Mit diesem Schlüssel sind laut Quelle das vollständige Leeren des Caches, das Löschen von Dateien, die Invalidierung des Opcode-Caches und weitere privilegierte Plugin-Operationen möglich. Die Bedingung mit dem fehlenden gespeicherten api_key nennt die Quelle ausdrücklich.

    Aktualisieren Sie auf 7.22.38.

    Betroffen
    WP Compress – Instant Performance & Speed Optimization
    Behoben in
    7.22.38
    CVSS
    5.3
    Quelle Wordfence
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.09.2026

    Quellen: Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Sofort Wordfence

    Jetpack – WP Security, Backup, Speed, & Growth

    Wordfence-Meldung

    Betrifft Sie, wenn Sie Jetpack in den Fassungen 16.1 bis 16.1.2 einsetzen. Die Quelle nennt dort gespeichertes Cross-Site-Scripting.

    Ich stufe die Lücke als gespeichertes Cross-Site-Scripting ein. Nicht authentifizierte Angreifer können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Die Lücke steht nicht im KEV-Katalog der CISA für aktiv ausgenutzte Schwachstellen.

    Aktualisieren Sie Jetpack auf 16.1.3.

    Betroffen
    Jetpack – WP Security, Backup, Speed, & Growth
    Behoben in
    16.1.3
    CVSS
    7.2
    Quelle Wordfence
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.09.2026

    Quellen: Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Sofort Wordfence

    Loops & Logic

    CVE-2026-16960

    Betrifft Sie, wenn Sie das WordPress-Plugin Loops & Logic bis einschließlich 4.2.0 einsetzen. Die Quelle nennt keine weitere Voraussetzung.

    Das Plugin begrenzt den Zugriff auf Vorlagendaten nicht auf die Daten, die ein Besucher sehen darf. Nicht angemeldete Nutzer können beliebige Benutzerdatensätze einschließlich E-Mail-Adressen und Rollen sowie beliebige Website-Optionen lesen.

    Ich stufe die Lücke als sofort relevant ein. Der Datensatz beschreibt eine Offenlegung sensibler Benutzer- oder Konfigurationsdaten.

    Aktualisieren Sie auf 4.3.0.

    Betroffen
    Loops & Logic
    Behoben in
    4.3.0
    CVSS
    7.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,35 %
    Perzentil 28,7
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Sofort Wordfence

    SEO Flow by LupsOnline

    CVE-2026-78362

    Betrifft Sie, wenn Sie SEO Flow by LupsOnline in 3.0.0 bis 3.0.2 einsetzen und das Plugin konfiguriert ist; eine Anmeldung ist nicht nötig.

    Das Plugin prüft die mit seinen API-Anfragen gelieferten Zugangsdaten nicht korrekt. Ein nicht angemeldeter Angreifer kann dadurch als der Administrator bedient werden, der das Plugin konfiguriert hat, und die Seite übernehmen.

    Wordfence beschreibt außerdem eine Rechteausweitung, weil Benutzer sich mehr Fähigkeiten zuweisen können, als ihre Rolle vorsieht. Ich stufe die Meldung als kritisch ein. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 3.0.3.

    Betroffen
    SEO Flow by LupsOnline
    Behoben in
    3.0.3
    CVSS
    9.8
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 27,7
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Sofort Wordfence

    Music Store WordPress eCommerce

    CVE-2026-82304

    Betrifft Sie, wenn Sie das WordPress-Plugin Music Store WordPress eCommerce vor 1.4.5 einsetzen, das Benutzereingaben in SQL-Abfragen verarbeitet.

    Ich stufe diese Lücke als unauthentifizierte SQL-Injection ein. Die Quelle beschreibt, dass unzureichend verarbeitete Benutzereingaben in bestehende SQL-Abfragen gelangen können. Dadurch können zusätzliche Abfragen ausgeführt und vertrauliche Informationen aus der Datenbank ausgelesen werden.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 1.4.5; die Quelle nennt keine Überbrückung.

    Betroffen
    Music Store – WordPress eCommerce
    Behoben in
    1.4.5
    CVSS
    8.6
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 25,6
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

261 geprüft und verworfen, mit Begründung
  • 138 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 31 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 19 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 13 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 11 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 10 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • CVE-2025-10263Linux-Kernel, die konkrete Meldung betrifft Arm-Prozessoren und besondere Ausnahmelevel, also eine hardware- und architekturspezifische Variante statt des allgemeinen Serverbetriebs.
  • CVE-2026-1933Samba ist ein Dateifreigabedienst für Windows-Netzwerke, auf einem reinen Webserver mit WordPress läuft er üblicherweise nicht.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2022-49732Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-39964Linux-Kernel, Fehler im Krypto-Subsystem. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2022-50712Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-42719Linux-Kernel, Fehler im WLAN-Stack. Betrifft nur WLAN-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-0864CPython, Interpreter auf Servern vorinstalliert. Lücke erfordert Kontrolle über geschriebene Werte, nicht aus der Ferne auslösbar.
  • CVE-2026-15308CPython, Denial of Service im HTML-Parser. Erfordert, dass ein Dienst unkontrollierte HTML-Daten verarbeitet, das ist auf einem Webserver mit WordPress nicht der Fall.
  • CVE-2026-13149Red Hat Ansible Automation Platform, eine Automatisierungsplattform, die in der Welt der Leser nicht vorkommt.
  • CVE-2026-92541Import and export users and customers beschreibt dieselbe fehlerhafte Berechtigungsprüfung und denselben Fix wie CVE-2026-92540, daher wäre ein eigener Eintrag eine Doppelung.
  • CVE-2026-89003WPeMatico RSS Feed Fetcher, authentifizierte SSRF, ist in dieser Meldung inhaltlich bereits durch CVE-2026-89000 abgedeckt.
  • CVE-2026-89005WPeMatico RSS Feed Fetcher, authentifiziertes gespeichertes Cross-Site-Scripting, ist in dieser Meldung inhaltlich bereits durch CVE-2026-89002 abgedeckt.
  • CVE-2026-94680The Post Grid, authentifiziertes gespeichertes Cross-Site-Scripting, ist in dieser Meldung inhaltlich bereits durch CVE-2026-94671 abgedeckt.
  • CVE-2026-16542Die SSRF in der WP-Erweiterung Import and export users and customers erfordert ein bereits privilegiertes Administratorkonto und ist daher keine von außen ohne Anmeldung auslösbare Schwachstelle.