intelligent piXel

Lagebild

838Meldungen gelesen
600betreffen Sie
238geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 600 Einträgen
  1. Sofort Wordfence

    ELEX WooCommerce Request a Quote

    CVE-2026-14962

    Betrifft Sie, wenn Sie ELEX WooCommerce Request a Quote bis einschließlich 2.4.0 einsetzen. Unangemeldete Nutzer können SQL-Injection ausführen.

    Die WordPress-Erweiterung verarbeitet einen vom Nutzer gelieferten Parameter nicht ausreichend, bevor sie ihn in einer SQL-Abfrage verwendet. Dadurch können unangemeldete Angreifer SQL-Injection ausführen und beliebige Daten aus der Datenbank auslesen.

    Ich stufe die Lücke als ernst ein. Die Quelle nennt keine weiteren Voraussetzungen. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie ELEX WooCommerce Request a Quote auf 2.4.1.

    Betroffen
    ELEX WooCommerce Request a Quote
    Behoben in
    2.4.1
    CVSS
    8.6
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 25,6
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    JetFormBuilder — Dynamic Blocks Form Builder

    CVE-2026-19858

    Betrifft Sie, wenn Sie JetFormBuilder — Dynamic Blocks Form Builder vor 3.6.5.2 einsetzen.

    Die Erweiterung prüft beim Verarbeiten von Seitendaten die Berechtigung nicht ausreichend. Dadurch können nicht angemeldete Nutzer Benutzer-, Beitrags- und Begriffeigenschaften sowie Metadaten lesen, darunter Passwort-Hashes, private und nicht veröffentlichte Inhalte und gespeicherte Geheimnisse.

    Ich stufe die Lücke als ernst ein, weil keine Anmeldung nötig ist und sensible Benutzer- und Konfigurationsdaten betroffen sein können. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 3.6.5.2.

    Betroffen
    JetFormBuilder — Dynamic Blocks Form Builder
    Behoben in
    3.6.5.2
    CVSS
    7.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 24,7
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    SupportCandy

    CVE-2026-81021

    Betrifft Sie, wenn Sie SupportCandy in den Fassungen 3.2.9 bis 3.5.2 einsetzen. Nicht angemeldete Angreifer können Ticketanhänge lesen.

    SupportCandy prüft auf einem Downloadpfad für Ticketanhänge die Berechtigung nicht. Dadurch können nicht angemeldete Angreifer beliebige Ticketanhänge lesen.

    Ich stufe die Lücke als relevant ein, weil der Zugriff ohne Anmeldung möglich ist. Die Quelle nennt keine weiteren Auswirkungen.

    Aktualisieren Sie auf 3.5.3; die Quelle nennt keine Überbrückung.

    Betroffen
    SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent
    Behoben in
    3.5.3
    CVSS
    5.3
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 11,0
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Sofort Wordfence

    CatalogX – Catalog Mode, Enquiry & Quotes for WooCommerce

    CVE-2026-81792

    Betrifft Sie, wenn Sie das WordPress-Plugin CatalogX – Catalog Mode, Enquiry & Quotes for WooCommerce bis einschließlich 6.1.4 einsetzen.

    Die Quelle beschreibt eine unzureichende Einschränkung der Berechtigungen, die ein Benutzer sich selbst zuweisen kann. Dadurch können nicht angemeldete Angreifer ihre Berechtigungen über das für ihre Rolle vorgesehene Maß hinaus erweitern.

    Ich stufe die Meldung wegen der fehlenden Anmeldung und der möglichen Rechteausweitung als sofort zu prüfen ein. Das Plugin steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    CatalogX – Catalog Mode, Enquiry & Quotes for WooCommerce
    CVSS
    6.5
    Quelle audit@patchstack.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,20 %
    Perzentil 9,6
    Art
    CWE-266
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    07.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Sofort BSI CERT-Bund · Ubuntu Security Wird ausgenutzt

    Linux Kernel

    CVE-2022-50401 und 3088 weitere

    Betrifft Sie, wenn Sie den Linux-Kernel mit NFSv4.1 einsetzen und die beschriebene Schwachstelle auf diesen Einsatz zutrifft.

    Die Quelle beschreibt einen Fehler in nfsd unter NFSv4.1. Bei einem Fehler während der Erstellung der RPC-Verbindung kann dieselbe Transportreferenz zweimal freigegeben werden. Das begleitende Protokoll zeigt einen Zählerunterlauf und Use-after-free.

    Ich stufe die Meldung als sofort ein. Die CVE steht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Linux Kernel, Linux kernel
    CVSS
    9.8
    Quelle 416baaa9-dc9f-4396-8d5f-8c081fb06d67
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,43 %
    Perzentil 36,3
    Art
    CWE-415, CWE-415
    Aktiv ausgenutzt
    KEV seit 27.08.2026
    Veröffentlicht
    04.09.2026

    Quellen: NVD · EPSS · CISA KEV · Ubuntu USN · BSI CERT-Bund

  6. Sofort Wordfence

    Ninja Forms

    CVE-2026-80437

    Betrifft Sie, wenn Sie das WordPress-Plugin Ninja Forms in den Fassungen 3.14.10 bis 3.15.1 einsetzen. Unangemeldete Angreifer können beliebige Shortcodes ausführen.

    Die Quelle beschreibt eine Remote-Code-Execution durch fehlende Neutralisierung von Shortcode-Klammern in requestbasierten Werten. Unangemeldete Angreifer können dadurch beliebige auf der Website registrierte Shortcodes ausführen.

    Ich stufe die Meldung trotz der mittleren Bewertung als relevant ein, weil keine Anmeldung nötig ist. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 3.15.2.

    Betroffen
    Ninja Forms – The Contact Form Builder That Grows With You
    Behoben in
    3.15.2
    CVSS
    4.8
    Quelle contact@wpscan.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 14,5
    Art
    CWE-74
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Sofort Wordfence

    WPFunnels

    CVE-2025-15691

    Betrifft Sie, wenn Sie WPFunnels einsetzen. Die Quellen nennen dafür betroffene Fassungen vor 3.13.0 beziehungsweise bis 3.13.0.

    Die Quelle beschreibt eine fehlende Berechtigungsprüfung. Nicht authentifizierte Angreifer können laut Quelle WordPress-Benutzerkonten anlegen, selbst wenn die Registrierung deaktiviert ist. Sie nennt dies außerdem eine unvollständige Behebung von CVE-2025-12353.

    Die Quellen widersprechen sich bei der betroffenen Fassung: Eine Quelle nennt Fassungen vor 3.13.0, eine andere alle Fassungen bis 3.13.0. Ich stufe die Meldung deshalb als sofort zu bearbeiten ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 3.13.0; die Quelle nennt keine Überbrückung.

    Betroffen
    WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell
    Behoben in
    3.13.0
    CVSS
    5.3
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 8,0
    Art
    CWE-863
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Sofort Wordfence

    Shared Files Pro

    CVE-2026-19084

    Betrifft Sie, wenn Sie Shared Files Pro vor 1.7.70 einsetzen. Unangemeldete Angreifer können beliebige Dateien lesen und öffentlich bereitstellen.

    Die Erweiterung prüft einen vom Benutzer gelieferten Dateipfad nicht ausreichend. Ich stufe das als ernst ein, weil Angreifer ohne Anmeldung beliebige Dateien vom Server lesen können.

    Die Quelle nennt darunter auch sensible Konfigurationsdateien. Sie beschreibt außerdem, dass die gelesenen Inhalte unter einer öffentlichen URL erneut bereitgestellt werden können. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzt.

    Aktualisieren Sie Shared Files Pro auf 1.7.70.

    Betroffen
    Shared Files Pro
    Behoben in
    1.7.70
    CVSS
    7.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 24,5
    Art
    CWE-73
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    03.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Sofort Wordfence

    Simple Ajax Chat: Add a Fast, Secure Chat Box

    CVE-2026-81807

    Betrifft Sie, wenn Sie das WordPress-Plugin Simple Ajax Chat: Add a Fast, Secure Chat Box vor 20260827 einsetzen und Nutzer den Chat aufrufen.

    Ich stufe sie als gespeichertes Cross-Site-Scripting ein. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft, auch Administratoren.

    Die Quelle nennt unzureichende Eingabeprüfung und Ausgabeaufbereitung als Ursache. Sie beschreibt keine weitere Wirkung über die Ausführung der Skripte im Browser hinaus.

    Aktualisieren Sie das Plugin auf 20260827.

    Betroffen
    Simple Ajax Chat – Add a Fast, Secure Chat Box
    Behoben in
    20260827
    CVSS
    8.8
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 20,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    03.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Sofort Wordfence

    FAQ Builder AYS

    CVE-2026-81737

    Betrifft Sie, wenn Sie FAQ Builder AYS in den betroffenen Fassungen einsetzen.

    Nicht angemeldete Angreifer können wegen unzureichender Prüfung und Maskierung von Eingaben Skripte in Seiten einschleusen. Die Skripte werden ausgeführt, wenn ein Benutzer eine manipulierte Seite aufruft.

    Die Quelle nennt gespeichertes Cross-Site Scripting. Sie führt die Lücke nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.8.5.

    Betroffen
    FAQ Builder AYS
    Behoben in
    1.8.5
    CVSS
    8.8
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 16,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    03.09.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

238 geprüft und verworfen, mit Begründung
  • 138 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 31 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 13 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 11 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 10 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • CVE-2025-10263Linux-Kernel, die konkrete Meldung betrifft Arm-Prozessoren und besondere Ausnahmelevel, also eine hardware- und architekturspezifische Variante statt des allgemeinen Serverbetriebs.
  • CVE-2026-1933Samba ist ein Dateifreigabedienst für Windows-Netzwerke, auf einem reinen Webserver mit WordPress läuft er üblicherweise nicht.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2022-49732Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-39964Linux-Kernel, Fehler im Krypto-Subsystem. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2022-50712Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-42719Linux-Kernel, Fehler im WLAN-Stack. Betrifft nur WLAN-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-0864CPython, Interpreter auf Servern vorinstalliert. Lücke erfordert Kontrolle über geschriebene Werte, nicht aus der Ferne auslösbar.
  • CVE-2026-15308CPython, Denial of Service im HTML-Parser. Erfordert, dass ein Dienst unkontrollierte HTML-Daten verarbeitet, das ist auf einem Webserver mit WordPress nicht der Fall.
  • CVE-2026-13149Red Hat Ansible Automation Platform, eine Automatisierungsplattform, die in der Welt der Leser nicht vorkommt.
  • CVE-2026-89003WPeMatico RSS Feed Fetcher, authentifizierte SSRF, ist in dieser Meldung inhaltlich bereits durch CVE-2026-89000 abgedeckt.
  • CVE-2026-89005WPeMatico RSS Feed Fetcher, authentifiziertes gespeichertes Cross-Site-Scripting, ist in dieser Meldung inhaltlich bereits durch CVE-2026-89002 abgedeckt.
  • CVE-2026-94680The Post Grid, authentifiziertes gespeichertes Cross-Site-Scripting, ist in dieser Meldung inhaltlich bereits durch CVE-2026-94671 abgedeckt.