intelligent piXel

Lagebild

988Meldungen gelesen
1000betreffen Sie
-12geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Abandoned Cart Pro for WooCommerce

    CVE-2026-97668

    Betrifft Sie, wenn Sie das WordPress-Plugin Abandoned Cart Pro for WooCommerce in einer der von der Quelle betroffenen Fassungen einsetzen.

    Die Quelle beschreibt eine SQL-Injection ohne Anmeldung. Sie kann vertrauliche Informationen aus der Datenbank auslesen und Benutzerdaten verändern, darunter laut Quelle auch die Rechte eines beliebigen Kontos.

    Wordfence bewertet die Lücke mit 9,8, also kritisch. Ich stufe sie als diese Woche zu bearbeiten ein.

    Aktualisieren Sie auf 10.8.1.

    Betroffen
    Abandoned Cart Pro for WooCommerce
    Behoben in
    10.8.1
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,45 %
    Perzentil 37,7
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Appointment Booking Plugin – LatePoint

    CVE-2026-100163

    Betrifft Sie, wenn Sie LatePoint bis einschließlich 5.7.2 mit aktivierter Option „Use WordPress users as customers“ einsetzen und ein Angreifer ein angemeldetes Konto mit Abonnentenrechten oder höher hat.

    Ich stufe diese Lücke als Umgehung der Anmeldung ein. Die Quelle beschreibt eine unzureichende Prüfung bei der Zuordnung eines WordPress-Benutzers zu einem LatePoint-Kundenkonto.

    Die Quelle nennt als mögliche Folge die Übernahme eines anderen LatePoint-Kundenkontos. Dabei können Buchungen sowie Daten zu Dienst, Agent und Kalender des betroffenen Kunden zugänglich werden. Beim nächsten Anmelden kann die E-Mail-Adresse des betroffenen Kunden mit der des Angreifers überschrieben werden.

    Aktualisieren Sie LatePoint auf 5.7.3.

    Betroffen
    Appointment Booking Plugin – LatePoint
    Behoben in
    5.7.3
    CVSS
    7.4
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,44 %
    Perzentil 37,6
    Art
    CWE-287
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    JTL-Connector for WooCommerce

    CVE-2026-78193

    Betrifft Sie, wenn Sie JTL-Connector for WooCommerce bis einschließlich 2.4.3 einsetzen. Die Quelle beschreibt eine SQL-Injection ohne Anmeldung.

    Ich stufe die Meldung als relevant ein. Die Quelle beschreibt eine zeitbasierte SQL-Injection über den Identitätsendpunkt product.push. Ursache sind unzureichende Maskierung und eine unzureichende Vorbereitung der bestehenden SQL-Abfrage.

    Die Lücke kann laut Quelle dazu genutzt werden, sensible Informationen aus der Datenbank zu extrahieren. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    JTL-Connector for WooCommerce
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,42 %
    Perzentil 35,6
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Cryptocurrency Donation Box – Bitcoin & Crypto Donations

    CVE-2026-93885

    Betrifft Sie, wenn Sie Cryptocurrency Donation Box in einer Fassung bis einschließlich 2.2.13 einsetzen.

    Die Quelle beschreibt gespeichertes Cross-Site Scripting durch unzureichende Eingabeprüfung und Ausgabe-Escaping. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die bei jedem Aufruf einer betroffenen Seite ausgeführt werden.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Cryptocurrency Donation Box – Bitcoin & Crypto Donations
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,39 %
    Perzentil 32,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Verified Reviews (Avis Vérifiés)

    CVE-2026-94377

    Betrifft Sie, wenn Sie das WordPress-Plugin Verified Reviews (Avis Vérifiés) in einer Fassung bis einschließlich 2.4.6 einsetzen.

    Das Plugin enthält eine gespeicherte Cross-Site-Scripting-Lücke durch unzureichende Eingabeprüfung und Ausgabeescapierung. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die bei jedem Zugriff auf eine eingeschleuste Seite ausgeführt werden.

    Ich stufe sie als ernst ein, weil laut Quelle keine Anmeldung nötig ist. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke. Die Quelle nennt keine weitergehende Wirkung.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Verified Reviews (Avis Vérifiés)
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,39 %
    Perzentil 32,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Abandoned Cart Pro for WooCommerce

    CVE-2026-97657

    Betrifft Sie, wenn Sie Abandoned Cart Pro for WooCommerce bis einschließlich 10.8.0 einsetzen und Nutzer Warenkörbe abgebrochen haben.

    Ich stufe die Meldung als kritische Umgehung der Anmeldung ein. Die Quelle beschreibt, dass nicht angemeldete Angreifer Konten betroffener Nutzer vollständig übernehmen können, darunter Administratorkonten.

    Das automatische Anmelden ist standardmäßig aktiviert und wird bei Plugin-Upgrades erzwungen. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 10.8.1. Die Quelle nennt keine Überbrückung.

    Betroffen
    Abandoned Cart Pro for WooCommerce
    Behoben in
    10.8.1
    CVSS
    9.8
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 30,3
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Smart Forms

    CVE-2026-95816

    Betrifft Sie, wenn Sie Smart Forms bis einschließlich 2.6.104 einsetzen, denn die Standardkonfiguration erlaubt anonyme Formulardaten zu übermitteln und zu speichern.

    Eine gespeicherte Cross-Site-Scripting-Lücke durch unzureichende Bereinigung von Eingaben und Maskierung bei der Ausgabe. Fremde können Webskripte in Seiten einschleusen, die ausgeführt werden, wenn jemand eine betroffene Seite aufruft.

    Die Prüfung mit einem Nonce greift nur, wenn das Blockieren anonymer Übermittlungen aktiviert ist. In der Standardkonfiguration sind für das Übermitteln und Speichern bösartiger Inhalte weder Anmeldung noch Nonce-Prüfung erforderlich.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Smart Forms – when you need more than just a contact form
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,36 %
    Perzentil 29,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Membership & User Roles for WooCommerce

    CVE-2026-104767

    Betrifft Sie, wenn Sie das Plugin bis 20260828 mit aktivem Replace Roles nutzen und ein Subscriber+ durch separate Rollenverwaltung Administrator wurde.

    Die Quelle beschreibt eine Rechteausweitung im Plugin. Ein angemeldetes Konto mit Subscriber-Rechten oder höher kann eine zuvor entzogene Administratorrolle wiederherstellen, wenn Replace Roles aktiv ist, die Rolle zuvor durch eine separate Rollenverwaltung vergeben wurde und im Rollen-Zwischenspeicher verblieb.

    Dafür muss ein Ereignis zur Rollenzuweisung ausgelöst werden. Das Konto erhält dadurch laut Quelle volle administrative Kontrolle über die Website. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 20261007.

    Betroffen
    Membership & User Roles for WooCommerce
    Behoben in
    20261007
    CVSS
    7.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,34 %
    Perzentil 26,9
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Mang Board

    CVE-2026-107751

    Betrifft Sie, wenn Sie das WordPress-Plugin Mang Board in Version 2.4.3 oder älter einsetzen, denn die Quelle nennt dort gespeichertes Cross-Site-Scripting.

    Die Quelle beschreibt unzureichende Eingabebereinigung und Ausgabe-Escaping im Plugin. Dadurch können nicht authentifizierte Angreifer beliebige Webskripte in Seiten einschleusen, die bei späterem Aufruf einer betroffenen Seite ausgeführt werden.

    Ich stufe die Lücke als relevant ein. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie Mang Board auf Version 2.4.4.

    Betroffen
    Mang Board
    Behoben in
    2.4.4
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 24,0
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Hyyan WooCommerce Polylang Integration

    CVE-2026-101926

    Betrifft Sie, wenn Sie Hyyan WooCommerce Polylang Integration in 1.5.0 oder älter einsetzen und ein Konto ab Subscriber-Rechten angemeldet ist.

    Ich stufe sie als SQL-Injection ein. Die Quelle sagt, dass angemeldete Angreifer ab Subscriber-Rechten zusätzliche SQL-Abfragen an bestehende Abfragen anhängen können. Dadurch lassen sich laut Quelle sensible Informationen aus der Datenbank auslesen.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Hyyan Integration for WooCommerce and Polylang
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 23,8
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-12 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • debian:DSA-6583-1Quellenlage zu duenn fuer einen eigenen Eintrag. Die Meldung besteht aus einem Satz, alles Weitere waere geraten.