intelligent piXel

Lagebild

988Meldungen gelesen
1000betreffen Sie
-12geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Snazzy Social Media Feed

    CVE-2026-110002

    Betrifft Sie, wenn Sie Snazzy Social Media Feed bis einschließlich 2.5 einsetzen und ein Angreifer über ein Konto mit mindestens Abonnentenrechten verfügt.

    Die Erweiterung erlaubt das Hochladen beliebiger Dateien. Laut Quelle kann daraus die Ausführung von Code entstehen. Die Quelle beschreibt dafür einen fehlenden Prüfmechanismus und eine unzureichende Bereinigung einer Eingabe.

    Ich stufe die Lücke als kritisch ein, weil für die beschriebene Wirkung kein Administratorkonto erforderlich ist. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Snazzy Social Media Feed
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,98 %
    Perzentil 61,8
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Printcart Store

    CVE-2026-93388

    Betrifft Sie, wenn Sie Printcart Store bis einschließlich 2.9.1 einsetzen. Die Erweiterung ermöglicht Datei-Upload ohne Anmeldung mit möglicher Codeausführung.

    Die Quelle beschreibt einen beliebigen Datei-Upload ohne Anmeldung, der zur Ausführung von Code aus der Ferne führen kann. Ich stufe die Lücke wegen dieser Wirkung und der Bewertung mit 9.8 als kritisch ein.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke. Die Quelle nennt keine weiteren Auswirkungen.

    Aktualisieren Sie Printcart Store auf 2.9.2.

    Betroffen
    Printcart Store
    Behoben in
    2.9.2
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,85 %
    Perzentil 57,9
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    BP Profile Search

    CVE-2026-104995

    Betrifft Sie, wenn Sie BP Profile Search bis einschließlich 5.9 einsetzen. Die Quelle nennt eine Ausnutzung ohne Anmeldung.

    Ich stufe die Lücke als schwer ein. Die Quelle beschreibt eine lokale Dateieinbindung beliebiger PHP-Dateien und nennt als mögliche Folge die Ausführung von Code aus der Ferne.

    Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken. Die Quelle nennt keine weiteren Auswirkungen.

    Aktualisieren Sie BP Profile Search auf 6.0.

    Betroffen
    BP Profile Search
    Behoben in
    6.0
    CVSS
    8.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,85 %
    Perzentil 57,9
    Art
    CWE-98
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    JTL-Connector for WooCommerce

    CVE-2026-87855

    Betrifft Sie, wenn Sie JTL-Connector for WooCommerce in Version 2.4.3 oder älter einsetzen.

    Ich stufe die Lücke als kritisch ein. Die Quelle beschreibt einen beliebigen Datei-Upload ohne Anmeldung. Hochgeladene Dateien können ausführbar sein, wodurch eine Ausführung von Code aus der Ferne möglich wird.

    Die Quelle nennt eine unzureichende Prüfung des Dateityps und eine leere Zugangsinformation, die als gültig akzeptiert wird. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    JTL-Connector for WooCommerce
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,79 %
    Perzentil 55,8
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    LifterLMS – WP LMS for eLearning, Online Courses, & Quizzes

    CVE-2026-110284

    Betrifft Sie, wenn Sie LifterLMS bis einschließlich 10.3.1 einsetzen und ein Angreifer ein angemeldetes Konto mit Instructor-Rechten oder höher hat.

    LifterLMS verarbeitet vom Angreifer kontrollierte Attribute des Checkout-Shortcodes auf unsichere Weise. Dadurch können angemeldete Angreifer mit Instructor-Rechten oder höher beliebige Dateien auf dem Server einbinden und ausführen.

    Laut Quelle kann das Zugriffskontrollen umgehen und vertrauliche Daten offenlegen. Codeausführung ist möglich, wenn Dateien mit sicheren Endungen hochgeladen und anschließend eingebunden werden. Ich stufe die Meldung als relevant ein. Sie steht nicht im KEV-Katalog der CISA.

    Aktualisieren Sie LifterLMS auf 10.3.2.

    Betroffen
    LifterLMS – WP LMS for eLearning, Online Courses, & Quizzes
    Behoben in
    10.3.2
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,69 %
    Perzentil 52,3
    Art
    CWE-98
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    SimpleForm

    CVE-2026-104748

    Betrifft Sie, wenn Sie SimpleForm bis einschließlich 3.10.0 einsetzen, denn die Quelle beschreibt eine Rechteausweitung ohne Anmeldung.

    Ich stufe die Lücke als kritisch ein. Die Quelle beschreibt, dass nicht angemeldete Angreifer ein neues WordPress-Konto mit Administratorrechten anlegen können.

    SimpleForm ist eine WordPress-Erweiterung. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie SimpleForm auf 3.10.1.

    Betroffen
    SimpleForm
    Behoben in
    3.10.1
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,65 %
    Perzentil 50,4
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Post Export Import with Media

    CVE-2026-104764

    Betrifft Sie, wenn Sie die WordPress-Erweiterung Post Export Import with Media in einer Fassung bis einschließlich 1.17.1 einsetzen.

    Die Erweiterung verarbeitet nicht vertrauenswürdige Eingaben und kann daraus ein PHP-Objekt erzeugen. Dafür ist eine Anmeldung mit Administratorrechten oder höheren Rechten nötig.

    Eine bekannte POP-Kette ist in der verwundbaren Software nicht vorhanden. Die Quelle nennt daher keine Auswirkung, solange kein weiteres Plugin oder Theme eine solche Kette bereitstellt. Ist sie vorhanden, kann die Lücke je nach Kette das Löschen beliebiger Dateien, das Abrufen vertraulicher Daten oder das Ausführen von Code ermöglichen. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.17.2.

    Betroffen
    Post Export Import with Media
    Behoben in
    1.17.2
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,64 %
    Perzentil 50,3
    Art
    CWE-502
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Bit integrations

    CVE-2026-104749

    Betrifft Sie, wenn Sie Bit integrations bis einschließlich 2.10.6 einsetzen, ein Formularfeld auf user_pass abbilden und ein Administrator den zugehörigen Fehlerprotokolleintrag erneut ausführt.

    Ich stufe die Lücke als Rechteausweitung mit möglicher Übernahme des Administratorkontos ein. Die Quelle beschreibt, dass ein nicht angemeldeter Angreifer das Administratorpasswort überschreiben und das Konto vollständig übernehmen kann.

    Für die Ausnutzung nennt die Quelle ein Formularfeld, das auf den Parameter user_pass der Aktion zur Aktualisierung eines WordPress-Benutzers abgebildet ist, sowie das erneute Ausführen des durch die anonym eingereichte Eingabe erzeugten Fehlerprotokolleintrags durch einen Administrator. Die Lücke steht nicht im KEV-Katalog der CISA.

    Aktualisieren Sie Bit integrations auf 2.10.7.

    Betroffen
    Bit integrations
    Behoben in
    2.10.7
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,54 %
    Perzentil 44,7
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Directorist

    CVE-2026-17092

    Betrifft Sie, wenn Sie Directorist bis einschließlich 8.10.2.1 einsetzen und angemeldete Benutzer ab der Subscriber-Rolle Zugriff haben.

    Die Erweiterung prüft nicht korrekt, ob ein angemeldeter Benutzer eine Aktion ausführen darf. Ich stufe das als Berechtigungsumgehung ein.

    Angemeldete Angreifer ab der Subscriber-Rolle können beliebige Verzeichniseinträge löschen, auch Einträge anderer Benutzer sowie Beiträge mit dem Status veröffentlicht, Entwurf oder privat.

    Aktualisieren Sie Directorist auf 8.10.3.

    Betroffen
    Directorist
    Behoben in
    8.10.3
    CVSS
    8.1
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,54 %
    Perzentil 44,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Gmedia Photo Gallery

    CVE-2026-96661

    Betrifft Sie, wenn Sie Gmedia Photo Gallery bis einschließlich 1.25.1 einsetzen. Die SQL-Injection erfordert kein WordPress-Konto und keine Sitzung.

    Eine zeitbasierte SQL-Injection durch unzureichende Maskierung und fehlende ausreichende Vorbereitung einer bestehenden SQL-Abfrage. Angreifer können zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und damit laut Quelle vertrauliche Informationen aus der Datenbank auslesen.

    Der nicht authentifizierte mobile App-Endpunkt führt die Bibliotheksaktion aus, ohne das Mobile-App-Merkmal, eine Nonce oder eine WordPress-Authentifizierung zu prüfen. Die Quelle nennt keine behobene Fassung. Die Lücke steht nicht im KEV-Katalog der CISA.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Gmedia Photo Gallery
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,45 %
    Perzentil 38,4
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-12 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • debian:DSA-6583-1Quellenlage zu duenn fuer einen eigenen Eintrag. Die Meldung besteht aus einem Satz, alles Weitere waere geraten.