intelligent piXel

Lagebild

988Meldungen gelesen
1000betreffen Sie
-12geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Sofort Wordfence

    Pay for Payment for WooCommerce

    CVE-2026-108493

    Betrifft Sie, wenn Sie das WordPress-Plugin Pay for Payment for WooCommerce in einer Version bis einschließlich 3.0.1 einsetzen.

    Eine fehlende Berechtigungsprüfung ermöglicht den Zugriff auf eine Funktion ohne ausreichende Autorisierung. Laut Quelle können nicht angemeldete Angreifer dadurch eine nicht autorisierte Aktion ausführen.

    Ich stufe die Lücke als relevant ein, weil für die Ausnutzung laut Quelle keine Anmeldung erforderlich ist. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 3.0.2.

    Betroffen
    Pay for Payment for WooCommerce
    Behoben in
    3.0.2
    CVSS
    5.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 7,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    Booking for Appointments and Events Calendar – Amelia

    CVE-2026-109684

    Betrifft Sie, wenn Sie das Amelia-Plugin für WordPress bis einschließlich 2.4.10 einsetzen, da laut Quelle eine Berechtigungsprüfung für eine Funktion fehlt.

    Ich stufe die Meldung als fehlende Autorisierungsprüfung ein. Eine Funktion prüft die erforderliche Berechtigung nicht, sodass nicht angemeldete Angreifer eine nicht autorisierte Aktion ausführen können.

    Die Quelle nennt keine konkrete Aktion und keine weitergehende Wirkung. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzt.

    Aktualisieren Sie auf 2.4.11; die Quelle nennt keine Überbrückung.

    Betroffen
    Booking for Appointments and Events Calendar – Amelia
    Behoben in
    2.4.11
    CVSS
    5.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 7,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    Subscribe to Comments

    CVE-2026-91830

    Betrifft Sie, wenn Sie Subscribe to Comments bis einschließlich 2.3.2 einsetzen.

    Das Plugin vertraut einem Cookie zur Identifizierung eines Kommentators, ohne es zu signieren oder zu validieren. Dadurch können nicht angemeldete Angreifer den Verwaltungsschlüssel eines Abonnenten offenlegen und dessen Abonnements unbemerkt ändern. Wordfence beschreibt außerdem die Offenlegung sensibler Benutzer- oder Konfigurationsdaten.

    Die CISA bewertet die Lücke mit 6.5, also mittel. Eine Anmeldung ist laut Quelle nicht nötig. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.3.3.

    Betroffen
    Subscribe to Comments
    Behoben in
    2.3.3
    CVSS
    6.5
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 6,7
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Sofort Wordfence

    Eventin

    CVE-2026-109898

    Betrifft Sie, wenn Sie Eventin bis einschließlich 4.1.25 einsetzen. Das Plugin erlaubt dann nicht angemeldeten Angreifern eine unbefugte Aktion.

    Eine fehlende Berechtigungsprüfung in einer Funktion. Dadurch können nicht angemeldete Angreifer eine unbefugte Aktion ausführen.

    Ich stufe die Lücke als relevant ein, auch wenn sie nicht im KEV-Katalog der aktiv ausgenutzten Lücken steht. Die Quelle nennt keine genauere unbefugte Aktion.

    Aktualisieren Sie auf 4.1.26.

    Betroffen
    Eventin
    Behoben in
    4.1.26
    CVSS
    5.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 6,8
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Sofort Wordfence

    User Registration & Membership

    CVE-2026-109699

    Betrifft Sie, wenn Sie das WordPress-Plugin User Registration in einer Fassung bis einschließlich 5.2.8 einsetzen. Die Quelle nennt keine weitere Bedingung.

    Eine fehlende Berechtigungsprüfung in einer Funktion. Dadurch können nicht angemeldete Angreifer eine nicht autorisierte Aktion ausführen.

    Ich stufe die Lücke als relevant ein, auch wenn sie nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke geführt wird.

    Aktualisieren Sie auf 5.3.0.

    Betroffen
    User Registration & Membership
    Behoben in
    5.3.0
    CVSS
    5.4
    Quelle Patchstack
    Anmeldung nötig
    laut Wordfence nein, laut CVSS-Vektor ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,17 %
    Perzentil 6,0
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Sofort Wordfence

    Everest Forms

    CVE-2026-108491

    Betrifft Sie, wenn Sie Everest Forms bis einschließlich Version 3.6.1 einsetzen und die Lücke ohne Anmeldung erreichbar ist.

    Ich stufe die Lücke als hoch ein. Patchstack bewertet sie mit 7.1, also hoch. Es handelt sich um gespeichertes Cross-Site Scripting durch unzureichende Eingabebereinigung und Ausgabeescapierung.

    Nicht authentisierte Angreifer können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine eingeschleuste Seite aufruft. Eine Anmeldung ist laut Quelle nicht nötig.

    Aktualisieren Sie Everest Forms auf 3.6.2.

    Betroffen
    Everest Forms
    Behoben in
    3.6.2
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,15 %
    Perzentil 3,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Sofort Wordfence

    XStore

    CVE-2026-105065

    Betrifft Sie, wenn Sie XStore in einer Fassung vor 9.7.9 einsetzen und ein Angreifer Sie zum Anklicken eines Links bringen kann.

    XStore ist ein WordPress-Theme mit einer reflektierten Cross-Site-Scripting-Schwachstelle. Unangemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die ausgeführt werden, wenn jemand auf einen entsprechend präparierten Link klickt.

    Ich stufe sie als hoch ein. Patchstack bewertet sie mit 7.1, also hoch; eine weitere Bewertung ordnet sie als mittel ein. Die Ursache sind laut Quelle unzureichende Eingabebereinigung und Ausgabevorbereitung.

    Aktualisieren Sie auf 9.7.9.

    Betroffen
    XStore
    Behoben in
    9.7.9
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,15 %
    Perzentil 3,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Sofort Wordfence

    Link Whisper Free

    CVE-2026-109685

    Betrifft Sie, wenn Sie Link Whisper Free bis einschließlich 0.9.7 einsetzen und ein Angreifer Sie zum Klicken auf einen Link bringen kann.

    Eine reflektierte Cross-Site-Scripting-Lücke durch unzureichende Prüfung von Eingaben und Absicherung der Ausgabe. Ein nicht angemeldeter Angreifer kann dadurch beliebige Webskripte in Seiten einschleusen, die ausgeführt werden, wenn er eine Person zu einer Aktion wie dem Klicken auf einen Link bringt.

    Patchstack bewertet sie mit 7.1, also hoch. Im Datensatz steht außerdem eine abweichende Einstufung als mittel. Ich stufe sie als sofort ein, weil keine Anmeldung nötig ist und eine behobene Fassung vorliegt.

    Aktualisieren Sie auf 0.9.8.

    Betroffen
    Link Whisper Free
    Behoben in
    0.9.8
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,15 %
    Perzentil 3,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    AGE-GATE

    CVE-2026-104800

    Betrifft Sie, wenn Sie das WordPress-Plugin AGE-GATE bis einschließlich 1.0 einsetzen und die eigenständige admin.php ohne Anmeldung erreichbar ist.

    Die Quelle beschreibt eine Codeausführung auf dem Server ohne Anmeldung. Dafür nennt sie den Zugriff auf die eigenständige admin.php sowie die Parameter „width“ und „height“. Fehlende Prüfungen und die ungefilterte Übernahme dieser Parameter in erzeugten PHP-Code machen den Einstieg möglich.

    Wordfence bewertet die Lücke mit 9,8, also kritisch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    AGE-GATE
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    1,03 %
    Perzentil 63,4
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Mang Board

    CVE-2026-104909

    Betrifft Sie, wenn Sie Mang Board bis einschließlich 2.4.3 einsetzen und eine Seite den öffentlichen Shortcode [mb_board] rendert.

    Ich stufe die Lücke als schwerwiegend ein. Nicht angemeldete Angreifer können beliebige PHP-Dateien einbinden und ausführen. Die Quelle nennt als mögliche Folgen das Umgehen von Zugriffskontrollen, den Erhalt vertraulicher Daten und Codeausführung, wenn PHP-Dateien hochgeladen und eingebunden werden können.

    Die Quelle beschreibt die Ausnutzung als einfach und nennt fehlende Prüfungen beim Rendern des öffentlichen Shortcodes als Ursache. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie Mang Board auf 2.4.4.

    Betroffen
    Mang Board
    Behoben in
    2.4.4
    CVSS
    8.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    1,01 %
    Perzentil 62,7
    Art
    CWE-98
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-12 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • debian:DSA-6583-1Quellenlage zu duenn fuer einen eigenen Eintrag. Die Meldung besteht aus einem Satz, alles Weitere waere geraten.