intelligent piXel

Lagebild

984Meldungen gelesen
1000betreffen Sie
-16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    NewStatPress

    CVE-2026-101924

    Betrifft Sie, wenn Sie NewStatPress bis einschließlich 1.4.5 einsetzen. Die Quelle nennt eine gespeicherte Cross-Site-Scripting-Lücke.

    Ich stufe die Lücke als relevant ein, weil nicht angemeldete Angreifer gespeicherte Besucherdaten so beeinflussen können, dass Skripte ausgeführt werden. Das geschieht, wenn ein privilegierter Benutzer wie ein Administrator die Übersichtsseite aufruft und den manipulierten Link mit dem Mauszeiger berührt.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    NewStatPress
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    AnyComment

    CVE-2026-103422

    Betrifft Sie, wenn Sie AnyComment bis einschließlich 0.3.6 einsetzen und der öffentliche REST-Endpunkt erreichbar ist. Dafür ist keine Anmeldung nötig.

    Ich stufe das als gespeichertes Cross-Site-Scripting ein. Die Quelle beschreibt unzureichende Eingabebereinigung beim öffentlichen REST-Endpunkt und fehlende Ausgabefilterung. Dadurch können nicht angemeldete Angreifer Webskripte einschleusen, die ausgeführt werden, wenn ein Administrator die Abonnementverwaltung öffnet.

    Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken. Das ändert nichts an der beschriebenen Wirkung.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    AnyComment
    CVSS
    7.2
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Mang Board

    CVE-2026-104761

    Betrifft Sie, wenn Sie Mang Board bis einschließlich 2.4.3 einsetzen und angemeldete Nutzer mit Custom-Berechtigung oder höher Zugriff haben.

    Eine gespeicherte Cross-Site-Scripting-Lücke durch unzureichende Prüfung von Eingaben und Ausgabe. Angemeldete Angreifer mit Custom-Berechtigung oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzt. Die Quelle nennt keine weiteren Auswirkungen.

    Aktualisieren Sie Mang Board auf 2.4.4.

    Betroffen
    Mang Board
    Behoben in
    2.4.4
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,31 %
    Perzentil 22,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    WP Testimonials

    CVE-2026-89269

    Betrifft Sie, wenn Sie WP Testimonials bis einschließlich 1.4.13 einsetzen und ein Benutzer mit Autorenrechten oder höher Zugriff hat.

    WP Testimonials bereinigt testimonial Inhalte nicht ausreichend und hebt die HTML-Bereinigung von WordPress beim Anzeigen wieder auf. Dadurch können angemeldete Benutzer mit Autorenrechten oder höher JavaScript in Testimonials speichern.

    Das JavaScript wird in der Sitzung jedes Benutzers ausgeführt, der eine Seite mit den eingefügten Testimonials aufruft, auch in der Sitzung von Administratoren. Die Lücke steht nicht im KEV-Katalog der CISA.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    WP Testimonials
    CVSS
    6.8
    Quelle CISA
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 21,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Mang Board

    CVE-2026-109698

    Betrifft Sie, wenn Sie Mang Board bis einschließlich 2.4.4 als WordPress-Erweiterung einsetzen, denn die Quelle nennt diese Fassungen als betroffen.

    Mang Board enthält eine SQL-Injection. Laut Quelle ist dafür keine Anmeldung erforderlich. Die Lücke kann zum Auslesen vertraulicher Informationen aus der Datenbank verwendet werden.

    Patchstack bewertet sie mit 9.3, also kritisch. Ich stufe sie wegen der fehlenden Anmeldepflicht und der möglichen Datenbankabfrage als schwerwiegend ein. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie Mang Board auf 2.4.5.

    Betroffen
    Mang Board
    Behoben in
    2.4.5
    CVSS
    9.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 20,6
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    FluentCRM

    CVE-2026-109693

    Betrifft Sie, wenn Sie FluentCRM bis einschließlich 3.2.5 einsetzen und ein angemeldetes Konto mit Contributor-Rechten oder höher vorhanden ist.

    Die Lücke erlaubt eine Rechteausweitung, weil Benutzer ihre eigenen Berechtigungen unzureichend eingeschränkt erweitern können. Angemeldete Angreifer mit Contributor-Rechten oder höher können dadurch ihre Berechtigungen über die für ihre Rolle vorgesehenen hinaus anheben.

    Ich stufe sie als hoch ein. Patchstack bewertet sie mit 8.8, also hoch. Die Quelle nennt eine Anmeldung als Voraussetzung, die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie FluentCRM auf 3.2.6.

    Betroffen
    FluentCRM
    Behoben in
    3.2.6
    CVSS
    8.8
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,29 %
    Perzentil 20,1
    Art
    CWE-266
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Avada (Fusion) Builder

    CVE-2026-97471

    Betrifft Sie, wenn Sie Avada (Fusion) Builder bis einschließlich 3.16.1 einsetzen. Unangemeldete Zugriffe können sensible Benutzer-Metadaten offenlegen.

    Ich stufe die Meldung als relevante Offenlegung sensibler Informationen ein. Die Quelle beschreibt, dass unangemeldete Angreifer beliebige Benutzer-Metadaten auslesen können, darunter Administrator-E-Mail-Adressen, Anmeldenamen, wp_user_level sowie WooCommerce-Kundendaten wie Rechnungs-E-Mail, Telefonnummer und Adresse.

    Die Quelle nennt als Ursache die Verarbeitung des Parameters args[link_target] über das dynamische Datentoken {user_meta}. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 3.16.2.

    Betroffen
    Avada (Fusion) Builder
    Behoben in
    3.16.2
    CVSS
    5.3
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,28 %
    Perzentil 19,7
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    GeoDirectory

    CVE-2026-107754

    Betrifft Sie, wenn Sie GeoDirectory bis einschließlich 2.8.190 einsetzen und ein Angreifer angemeldeten Zugriff ab Subscriber-Recht hat.

    GeoDirectory verarbeitet Eingaben unzureichend und gibt sie ohne ausreichende Bereinigung aus. Dadurch können angemeldete Angreifer ab Subscriber-Recht beliebige Webskripte in Seiten einschleusen.

    Die Skripte werden ausgeführt, sobald ein Benutzer eine manipulierte Seite aufruft. Ich stufe die Lücke als relevant ein. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie GeoDirectory auf 2.8.191.

    Betroffen
    GeoDirectory
    Behoben in
    2.8.191
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,27 %
    Perzentil 18,1
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    ACF Frontend Admin by DynamiApps

    CVE-2026-109892

    Betrifft Sie, wenn Sie ACF Frontend Admin by DynamiApps bis einschließlich 3.29.13 einsetzen, da die Lücke unauthentisierte Rechteausweitung ermöglicht.

    Die Erweiterung weist Berechtigungen unzureichend zu. Nicht angemeldete Angreifer können ihre Berechtigungen über die für ihre Rolle vorgesehenen hinaus erhöhen.

    Patchstack bewertet die Lücke mit 9.8, also kritisch. Eine weitere Bewertung stuft sie als hoch ein.

    Aktualisieren Sie auf 3.30.0.

    Betroffen
    ACF Frontend Admin by DynamiApps
    Behoben in
    3.30.0
    CVSS
    9.8
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,27 %
    Perzentil 18,0
    Art
    CWE-266
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Easy Appointment Booking & Scheduling Plugin

    CVE-2026-107416

    Betrifft Sie, wenn Sie das WordPress-Plugin Webba Booking Calendar in einer Fassung bis einschließlich 6.5.2 einsetzen.

    Die Lücke ist eine unsichere direkte Objektreferenz. Eine vom Benutzer kontrollierte Kennung wird nicht validiert, wodurch nicht angemeldete Angreifer eine nicht autorisierte Aktion ausführen können.

    Patchstack bewertet sie mit 7.5, also hoch. Eine weitere Einstufung liegt als mittel vor, der Datensatz nennt dafür keine Quelle. Ich stufe sie für diese Woche ein.

    Aktualisieren Sie auf 6.5.3. Die Quelle nennt keine Überbrückung.

    Betroffen
    Easy Appointment Booking & Scheduling Plugin
    Behoben in
    6.5.3
    CVSS
    7.5
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,27 %
    Perzentil 18,0
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-16 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.