intelligent piXel

Lagebild

984Meldungen gelesen
1000betreffen Sie
-16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Mang Board

    CVE-2026-107751

    Betrifft Sie, wenn Sie das WordPress-Plugin Mang Board in Version 2.4.3 oder älter einsetzen, denn die Quelle nennt dort gespeichertes Cross-Site-Scripting.

    Die Quelle beschreibt unzureichende Eingabebereinigung und Ausgabe-Escaping im Plugin. Dadurch können nicht authentifizierte Angreifer beliebige Webskripte in Seiten einschleusen, die bei späterem Aufruf einer betroffenen Seite ausgeführt werden.

    Ich stufe die Lücke als relevant ein. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie Mang Board auf Version 2.4.4.

    Betroffen
    Mang Board
    Behoben in
    2.4.4
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 24,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Hyyan WooCommerce Polylang Integration

    CVE-2026-101926

    Betrifft Sie, wenn Sie Hyyan WooCommerce Polylang Integration in 1.5.0 oder älter einsetzen und ein Konto ab Subscriber-Rechten angemeldet ist.

    Ich stufe sie als SQL-Injection ein. Die Quelle sagt, dass angemeldete Angreifer ab Subscriber-Rechten zusätzliche SQL-Abfragen an bestehende Abfragen anhängen können. Dadurch lassen sich laut Quelle sensible Informationen aus der Datenbank auslesen.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Hyyan Integration for WooCommerce and Polylang
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 23,8
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Record of Consent Extension for Complianz

    CVE-2026-107631

    Betrifft Sie, wenn Sie Record of Consent Extension for Complianz bis einschließlich 2.5 einsetzen und Seiten mit gespeicherten Inhalten daraus aufrufen.

    Die Erweiterung ist für gespeichertes Cross-Site-Scripting anfällig. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, wenn ein Benutzer eine manipulierte Seite aufruft.

    Ich stufe die Lücke wegen der fehlenden Anmeldeanforderung und der möglichen Skriptausführung als relevant ein. Die Quelle nennt als Ursache unzureichende Eingabebereinigung und Ausgabevalidierung.

    Aktualisieren Sie auf 2.6. Die Quelle nennt keine Überbrückung.

    Betroffen
    Record of Consent Extension for Complianz
    Behoben in
    2.6
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 23,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Meow Lightbox

    CVE-2026-107756

    Betrifft Sie, wenn Sie Meow Lightbox bis 5.6.2 mit aktivem Output Buffering nutzen und ein Angreifer ab Subscriber schon einen genehmigten Kommentar hat.

    Die Quelle beschreibt gespeichertes Cross-Site Scripting durch unzureichende Bereinigung und Ausgabe-Maskierung. Angemeldete Angreifer mit Subscriber-Rechten oder mehr können Webskripte in Seiten einschleusen, die beim Aufruf einer betroffenen Seite ausgeführt werden.

    Voraussetzung ist aktiviertes Output Buffering, das standardmäßig ausgeschaltet ist, sowie ein zuvor genehmigter Kommentar des Angreifers.

    Aktualisieren Sie auf 5.6.3.

    Betroffen
    Meow Lightbox
    Behoben in
    5.6.3
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,32 %
    Perzentil 23,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Link Whisper Free

    CVE-2026-109686

    Betrifft Sie, wenn Sie Link Whisper Free bis einschließlich 0.9.7 einsetzen und ein angemeldetes Konto auf Beitragsebene oder höher zugreifen kann.

    Ich stufe die Lücke als kritisch ein. Patchstack bewertet sie mit 9.8, also kritisch. Sie beruht auf der Deserialisierung nicht vertrauenswürdiger Eingaben und ermöglicht authentifizierten Angreifern, ein PHP-Objekt einzuschleusen.

    Wordfence nennt keine bekannte POP-Kette in der betroffenen Software. Falls ein zusätzlich installiertes Plugin oder Theme eine solche Kette bereitstellt, könnte der Angreifer beliebige Dateien löschen, vertrauliche Daten abrufen oder Code ausführen.

    Aktualisieren Sie auf 0.9.8. Die Quelle nennt keine Überbrückung.

    Betroffen
    Link Whisper Free
    Behoben in
    0.9.8
    CVSS
    9.8
    Quelle Patchstack
    Anmeldung nötig
    laut Wordfence ja, laut CVSS-Vektor nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 23,1
    Art
    CWE-502
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Jeg Kit for Elementor

    CVE-2026-103907

    Betrifft Sie, wenn Sie Jeg Kit for Elementor bis einschließlich 3.2.19 einsetzen und angemeldete Nutzer ab Subscriber-Level Zugriff haben.

    Eine fehlende Berechtigungsprüfung ermöglicht angemeldeten Nutzern den unberechtigten Zugriff auf Daten. Die Quelle nennt dabei die Auflistung registrierter Nutzer und die Rekonstruktion ihrer E-Mail-Adressen.

    Ich stufe die Lücke als relevant ein, obwohl sie nicht im KEV-Katalog der CISA steht. Für die Ausnutzung ist ein angemeldeter Nutzer mit Subscriber-Level-Zugriff oder höher erforderlich.

    Aktualisieren Sie auf 3.2.20; die Quelle nennt keine Überbrückung.

    Betroffen
    Jeg Kit for Elementor
    Behoben in
    3.2.20
    CVSS
    6.5
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,9
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    LatePoint

    CVE-2026-103380

    Betrifft Sie, wenn Sie LatePoint bis einschließlich 5.7.3 einsetzen und ein angemeldeter Angreifer mindestens Zugriff auf die Subscriber-Rolle hat.

    Die Quelle beschreibt eine Offenlegung sensibler Informationen. Angemeldete Angreifer mit Subscriber-Zugriff oder höher können privilegierte Buchungsdaten auslesen, darunter das Administratorfeld admin_notes, interne Kontaktdaten zugewiesener Agents, Transaktionstoken und Zahlungsanfrage-URLs aus gerenderten Benachrichtigungs-E-Mails.

    Ich stufe die Meldung als mittleren Befund ein. Sie steht nicht im KEV-Katalog der CISA für aktiv ausgenutzte Lücken.

    Aktualisieren Sie LatePoint auf 5.7.4.

    Betroffen
    Appointment Booking Plugin – LatePoint
    Behoben in
    5.7.4
    CVSS
    4.3
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,7
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Document Gallery

    CVE-2026-77114

    Betrifft Sie, wenn Sie Document Gallery bis einschließlich 5.1.1 einsetzen und die Protokollierung aktiviert ist, was bei WP_DEBUG true die Standardeinstellung ist.

    Ich stufe das als unauthentifiziert ausnutzbares Stored Cross-Site Scripting ein. Angreifer können beliebige Webskripte in Seiten einschleusen, die ausgeführt werden, sobald jemand eine manipulierte Seite aufruft.

    Die Ausnutzung setzt voraus, dass die Protokollierung im Plugin aktiviert ist. Laut Quelle ist das bei WP_DEBUG true standardmäßig der Fall, andernfalls muss ein Administrator die Protokollierung manuell aktivieren.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Document Gallery
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Contact Form DB for Enfold

    CVE-2026-83592

    Betrifft Sie, wenn Sie Contact Form DB for Enfold bis einschließlich 2.0.2 einsetzen. Unangemeldete Angreifer können gespeicherte Skripte in Seiten einschleusen.

    Die Erweiterung ist für gespeichertes Cross-Site-Scripting anfällig. Unzureichende Bereinigung und Ausgabe maskieren die Eingaben nicht, sodass unangemeldete Angreifer beliebige Webskripte in Seiten einschleusen können. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Contact Form DB for Enfold
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    NewStatPress

    CVE-2026-100153

    Betrifft Sie, wenn Sie NewStatPress bis einschließlich 1.4.5 einsetzen und eine öffentliche Seite den Top-Pages-Shortcode enthält, auf der genug Zugriffe anfallen.

    NewStatPress lässt sich ohne Anmeldung zu gespeichertem Cross-Site-Scripting missbrauchen. Eingeschleuste Webskripte werden auf Seiten ausgeführt, sobald jemand eine betroffene Seite aufruft.

    Dafür muss ein Administrator den Top-Pages-Shortcode auf einer öffentlich sichtbaren Seite platziert haben. Die Quelle nennt außerdem genug Zugriffe als Voraussetzung dafür, dass die präparierte URL in der Top-N-Rangliste erscheint. Ich stufe die Meldung als relevant ein, obwohl sie nicht im KEV-Katalog der aktiv ausgenutzten Lücken steht.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    NewStatPress
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-16 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.