intelligent piXel

Lagebild

616Meldungen gelesen
527betreffen Sie
89geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
7 von 527 Einträgen
  1. Sofort Wordfence

    Database Collation Fix

    CVE-2026-15018

    Betrifft Sie, wenn Sie das Plugin Database Collation Fix in einer Version bis einschließlich 1.2.10 einsetzen und die Datei trigger.txt im Plugin-Verzeichnis vorhanden ist. Die Datei wird bei bestimmten DesktopServer-Vorgängen angelegt.

    Eine SQL-Injection, die ohne Anmeldung auskommt. Ein Angreifer kann über den Parameter force-collation-algorithm eigene Datenbankabfragen an bestehende Abfragen anhängen und so Inhalte aus der Datenbank auslesen. Voraussetzung ist, dass die Datei trigger.txt im Plugin-Ordner liegt. Das passiert bei Integrationsereignissen von DesktopServer, etwa beim Anlegen einer Website. Ist die Datei nicht da, läuft die Lücke ins Leere.

    Der CVSS von 5,3 täuscht. Er bildet die Bedingung mit der Trigger-Datei ab, nicht das, was nach dem Auslesen der Datenbank folgt. Wer Zugriff auf die Datenbank hat, hat Zugriff auf alles, was darin steht. Deshalb steht die Lücke hier und nicht im Filter.

    Entfernen Sie das Plugin oder aktualisieren Sie auf Version 1.2.11. Löschen Sie anschließend die Datei trigger.txt, falls vorhanden, und sehen Sie die Datenbank auf unbekannte Abfragen durch.

    Betroffen
    Database Collation Fix
    Behoben in
    1.2.11
    CVSS
    5.3
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,27 %
    Perzentil 18,4
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    31.07.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    MailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder

    CVE-2026-15052

    Betrifft Sie, wenn Sie das Plugin MailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder in einer Version bis einschließlich 4.3.3 einsetzen.

    Ein Angreifer kann ohne Anmeldung Skripte in Formularfeldern ablegen. Die Skripte werden bei jedem Aufruf der betroffenen Seite im Browser des Besuchers ausgeführt. Das reicht von der Umleitung auf fremde Seiten bis zum Diebstahl von Sitzungsdaten eines Administrators.

    Aktualisieren Sie auf Version 4.3.4.

    Betroffen
    MailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder
    Behoben in
    4.3.4
    CVSS
    7.2
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 15,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    31.07.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    Jeg Kit for Elementor

    CVE-2026-2916

    Betrifft Sie, wenn Sie Jeg Kit for Elementor bis einschließlich Version 3.1.1 einsetzen und Benutzer mit mindestens Contributor-Rechten Zugriff auf die Beitragsbearbeitung haben.

    Das Plugin schreibt eine vollständige Inventarliste aller installierten Plugins, Systeminformationen und teils API-Schlüssel in eine JavaScript-Variable auf der Beitragsbearbeitungsseite. Jeder, der einen Beitrag bearbeiten darf, kann diese Daten im Klartext mitlesen. Ein Angreifer mit Contributor-Konto sieht damit, welche anderen Plugins in welcher Version laufen und ob verwertbare Schlüssel wie der Mailchimp-API-Key offenliegen.

    Aktualisieren Sie auf Version 3.1.2.

    Betroffen
    Jeg Kit for Elementor – Powerful Addons for Elementor, Widgets & Templates for WordPress
    Behoben in
    3.1.2
    CVSS
    4.3
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,22 %
    Perzentil 12,3
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    31.07.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    WooCommerce PayPal Payments

    CVE-2025-14073

    Betrifft Sie, wenn Sie WooCommerce PayPal Payments in Version 3.3.2 oder älter einsetzen und Bestellungen über Ihren Shop abwickeln.

    Eine fehlende Prüfung an einer Stelle, die Bestelldaten anzeigt. Ohne Anmeldung kann jemand über eine fortlaufende Nummer an Bestellinformationen gelangen, darunter der Bestellschlüssel. Mit diesem Schlüssel lassen sich innerhalb von 10 Minuten nach Bestelleingang die vollständigen Kundendaten abrufen: Name, E-Mail, Telefon, Adresse.

    Das ist keine Lücke, die Ihrem Server das Passwort abpresst. Sie legt aber jeden Kaufvorgang offen, und wer Kundendaten sammelt, braucht nicht lange, um daraus Kapital zu schlagen.

    Aktualisieren Sie das Plugin auf die neueste Version und prüfen Sie, ob in den letzten Tagen ungewöhnliche Zugriffe auf Bestelldaten stattgefunden haben.

    Betroffen
    WooCommerce PayPal Payments
    Behoben in
    3.4.0
    CVSS
    5.3
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 14,2
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    31.07.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    User Profile Picture

    CVE-2026-61971

    Betrifft Sie, wenn Sie das Plugin User Profile Picture in einer Version bis einschließlich 2.6.3 einsetzen und in Ihrer Installation Benutzer mit der Rolle Autor oder höher existieren, denen Sie nicht vollständig vertrauen.

    Ein unsicherer direkter Objektverweis. Ein angemeldeter Benutzer mit mindestens Autor-Rechten kann die Benutzerkennung in einer Anfrage manipulieren und so das Profilbild eines anderen Benutzers ändern. Für sich genommen kein kritischer Eingriff, aber ein ungewollter Zugriff auf fremde Daten, der in einer Umgebung mit vielen Autoren nicht vorkommen sollte.

    Aktualisieren Sie auf Version 2.6.4.

    Betroffen
    User Profile Picture
    Behoben in
    2.6.4
    CVSS
    2.7
    Quelle audit@patchstack.com
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 9,1
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    31.07.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Auto Featured Image (Auto Post Thumbnail)

    CVE-2026-61970

    Betrifft Sie, wenn Sie das Plugin Auto Featured Image in einer Version bis einschließlich 5.0.4 einsetzen und Benutzer mit der Rolle Contributor oder höher haben.

    Ein Angreifer mit einem Contributor-Konto kann das Plugin dazu bringen, Anfragen an interne Dienste zu stellen, die von außen nicht erreichbar sind. Das reicht, um die Infrastruktur hinter der Website zu erkunden oder mit anderen ungepatchten Diensten zu sprechen. Für sich genommen ist die Lücke auf die Reichweite eines eingeschränkten Kontos angewiesen, deshalb die Einstufung auf diese Woche.

    Aktualisieren Sie auf Version 5.0.5. Eine Überbrückung nennt die Quelle nicht.

    Betroffen
    Auto Featured Image (Auto Post Thumbnail)
    Behoben in
    5.0.5
    CVSS
    4.9
    Quelle audit@patchstack.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,12 %
    Perzentil 2,1
    Art
    CWE-918
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    31.07.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Zur Kenntnis Nachgetragen Wird ausgenutzt

    WordPress Core (wp2shell)

    CVE-2026-63030 und eine weitere

    Betrifft Sie, wenn Sie WordPress 6.9 oder 7.0 betreiben und die REST-Schnittstelle von außen erreichbar ist. Das ist sie im Auslieferungszustand.

    Eine Verwechslung von Routen im Sammelendpunkt der REST-Schnittstelle. Für sich genommen wäre das ein Schönheitsfehler. Zusammen mit der SQL-Injection in CVE-2026-60137 wird daraus ein Zugriff auf Ihre Datenbank, ohne Konto, ohne Passwort, von außen, und im weiteren Verlauf eine Codeausführung auf dem Server.

    Beide Lücken liegen im Kern, nicht in einem Plugin. Das bedeutet, dass jede Installation betroffen ist, die nicht aktualisiert ist, unabhängig davon, welche Erweiterungen Sie verwenden.

    Aktualisieren Sie auf 6.9.5 oder 7.0.2. Beide Lücken sind mit demselben Update geschlossen. Wenn Ihre Installation seit dem 17. Juli nicht aktualisiert wurde, gehen Sie nicht davon aus, dass nichts passiert ist, sondern sehen Sie nach.

    Betroffen
    WordPress Core (wp2shell)
    CVSS
    9.8
    Quelle contact@wpscan.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    97,27 %
    Perzentil 99,9
    Art
    CWE-436
    Aktiv ausgenutzt
    KEV seit 21.07.2026
    Veröffentlicht
    17.07.2026

    Quellen: Sicherheitshinweis · Hersteller · NVD · EPSS · CISA KEV

89 geprüft und verworfen, mit Begründung
  • 122 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 18 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 16 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 11 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 9 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 7 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 7 MeldungenIBM-Unternehmenssoftware wie DB2 oder WebSphere. Sie läuft in Rechenzentren mit eigener Betriebsmannschaft, auf einem Linux-Webserver mit WordPress kommt sie nicht vor. Wer sie im Haus hat, bezieht die Hinweise dazu über den Wartungsvertrag.
  • 6 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • CVE-2021-47378Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-5358GNU-libc-Meldung, die NVD als zurückgewiesen führt, weil die betroffene NIS+-Schnittstelle auf Linux nie ausgeliefert wurde und keine Vertrauensgrenze überschreitet.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2026-16502Live Composer ist ein WordPress-Plugin mit geringer Verbreitung, und die Lücke erfordert ein angemeldetes Konto sowie eine zusätzlich installierte POP-Kette, ohne die sie keine Wirkung entfaltet.
  • CVE-2026-81766WordPress-Plugin, erfordert eine benutzerdefinierte Rolle und eine nicht standardmäßige Multisite-Konfiguration, die Reichweite ist zu klein.
  • CVE-2026-82226WordPress-Plugin, ohne Anmeldung auslösbar, aber ohne bekannte POP-Kette im Plugin selbst, die Auswirkung hängt von weiteren installierten Erweiterungen ab.
  • CVE-2023-53034Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-38177Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-38236Linux-Kernel, Use-after-free über lokale Unix-Sockets. Die Ausnutzung erfordert bereits einen lokalen Prozess oder ein Konto und bietet keine entfernte Angriffsfläche.
  • CVE-2025-38353Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2024-58239Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50339Linux-Kernel, Fehler im Bluetooth-Stack. Betrifft nur Bluetooth-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-39891Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50556Linux-Kernel, Fehler im DRM-Treiber. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2025-40029Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-40086Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-40110Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-40178Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50583Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50712Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-42719Linux-Kernel, Fehler im WLAN-Stack. Betrifft nur WLAN-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-71102Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-31431Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-0864CPython, Interpreter auf Servern vorinstalliert. Lücke erfordert Kontrolle über geschriebene Werte, nicht aus der Ferne auslösbar.