intelligent piXel

Lagebild

984Meldungen gelesen
1000betreffen Sie
-16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Mobile Builder

    CVE-2026-103696

    Betrifft Sie, wenn Sie das Mobile-Builder-WordPress-Plugin bis einschließlich 1.4.2 einsetzen und die Website auch das WCFM-Delivery-Add-on verwendet.

    Die Lücke ist eine SQL-Injection durch unzureichende Bereinigung und Maskierung eines vom Benutzer gelieferten Parameters. Nicht authentifizierte Angreifer können zusätzliche SQL-Abfragen in bestehende Abfragen einfügen und dadurch laut Quelle vertrauliche Informationen aus der Datenbank auslesen.

    Die CISA bewertet sie mit 6,8, also mittel. Eine weitere Bewertung stuft sie als hoch ein. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Mobile builder
    CVSS
    6.8
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,27 %
    Perzentil 17,9
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    GeoDirectory

    CVE-2026-107650

    Betrifft Sie, wenn Sie GeoDirectory bis einschließlich 2.8.190 einsetzen und ein angemeldeter Angreifer Subscriber-Rechte oder höher hat.

    Ich stufe die Meldung als gespeichertes Cross-Site-Scripting ein. Die Quelle führt unzureichende Eingabeprüfung und Ausgabe-Maskierung als Ursache an. Ein angemeldeter Angreifer mit Subscriber-Rechten oder höher kann über den Titel eines Eintrags beliebige Webskripte in Seiten einschleusen. Diese werden ausgeführt, wenn jemand eine manipulierte Seite aufruft.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke. Die Quelle beschreibt keine weitergehende Wirkung.

    Aktualisieren Sie auf 2.8.191. Die Quelle nennt keine Überbrückung.

    Betroffen
    GeoDirectory
    Behoben in
    2.8.191
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,26 %
    Perzentil 17,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    PO/MO Editor

    CVE-2026-97020

    Betrifft Sie, wenn Sie das WordPress-Plugin PO/MO Editor bis einschließlich 1.4.2 einsetzen und Nutzer betroffene Seiten aufrufen.

    Eine gespeicherte Cross-Site-Scripting-Lücke. Angemeldete Angreifer mit Abonnentenrechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, wenn ein Nutzer eine manipulierte Seite aufruft.

    Ich stufe sie als relevant ein, weil die Quelle eine Ausführung des eingeschleusten Inhalts beim Aufruf einer betroffenen Seite beschreibt. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    PO/MO Editor
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,26 %
    Perzentil 17,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Booking Package

    CVE-2026-103425

    Betrifft Sie, wenn Sie Booking Package bis einschließlich 1.7.29 einsetzen und angemeldete Benutzer mit Contributor-Rechten oder höher Zugriff haben.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabe-Escaping. Eingeschleuste Webskripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Die Ausnutzung setzt eine Anmeldung mit Contributor-Rechten oder höher voraus. Wordfence bewertet die Lücke mit 6.4, also mittel.

    Aktualisieren Sie auf 1.7.30.

    Betroffen
    Booking Package
    Behoben in
    1.7.30
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,26 %
    Perzentil 17,2
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Directorist

    CVE-2026-100185

    Betrifft Sie, wenn Sie Directorist bis einschließlich 8.10.2.1 einsetzen und angemeldete Benutzer mit Subscriber-Rechten Einträge veröffentlichen können.

    Ich stufe diese Lücke als gespeichertes Cross-Site-Scripting ein. Unzureichende Eingabeprüfung und Ausgabevalidierung ermöglichen authentifizierten Angreifern mit Subscriber-Rechten oder höher, beliebige Webskripte in Seiten einzuschleusen.

    Die Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft. Der Datensatz nennt außerdem, dass die Erweiterung Subscriber-Benutzern das Einreichen und Veröffentlichen von Einträgen ohne Moderation ermöglicht.

    Aktualisieren Sie auf 8.10.3.

    Betroffen
    Directorist
    Behoben in
    8.10.3
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 15,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Social Share Buttons & Analytics Plugin

    CVE-2026-103369

    Betrifft Sie, wenn Sie das Social Share Buttons & Analytics Plugin bis einschließlich 4.5 einsetzen und ein angemeldeter Angreifer Subscriber-Rechte oder höher besitzt.

    Ich stufe sie als gespeichertes Cross-Site-Scripting ein. Die Quelle nennt unzureichende Eingabeprüfung und Ausgabevorbereitung als Ursache. Eingebrachte Webskripte können in betroffenen Seiten ausgeführt werden, sobald jemand diese Seite aufruft.

    Die Quelle beschreibt eine Ausführung im Browser eines Administrators beim Aufruf der GetSocial-Einstellungsseite. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Social Share Buttons & Analytics Plugin – GetSocial.io
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 15,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    FluentCart A New Era of eCommerce

    CVE-2026-109695

    Betrifft Sie, wenn Sie FluentCart bis einschließlich 1.7.1 einsetzen.

    Die Quelle beschreibt eine Offenlegung sensibler Informationen. Nicht angemeldete Angreifer können laut Quelle sensible Benutzer- oder Konfigurationsdaten auslesen.

    Patchstack bewertet die Lücke mit 7.5, also hoch. Ich stufe sie für diese Woche ein.

    Aktualisieren Sie auf 1.8.0.

    Betroffen
    FluentCart A New Era of eCommerce
    Behoben in
    1.8.0
    CVSS
    7.5
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 14,9
    Art
    CWE-201
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Tutor LMS

    CVE-2026-100193

    Betrifft Sie, wenn Sie Tutor LMS bis einschließlich 4.1.0 einsetzen und eine Unterrichtsseite eine leere Liste der Navigationseinträge hat.

    Die Quelle beschreibt reflektiertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabe-Codierung. Nicht angemeldete Angreifer können beliebige Webskripte in Seiten einschleusen, die ausgeführt werden, wenn sie einen Nutzer erfolgreich zu einer Aktion wie dem Klicken auf einen Link bringen.

    Ich stufe die Lücke als relevant ein, obwohl sie nicht im KEV-Katalog der aktiv ausgenutzten Lücken steht. Die Quelle nennt als weitere Bedingung eine Unterrichtsseite ohne Inhalte und Anhänge, bei der Kommentare deaktiviert sind oder der Betrachter nicht angemeldet ist.

    Aktualisieren Sie Tutor LMS auf 4.1.1.

    Betroffen
    Tutor LMS – eLearning and online course solution
    Behoben in
    4.1.1
    CVSS
    4.7
    Quelle Wordfence
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 14,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    WOLF - WordPress Posts Bulk Editor and Manager Professional

    CVE-2026-108179

    Betrifft Sie, wenn Sie WOLF - WordPress Posts Bulk Editor and Manager Professional bis einschließlich 1.1.1 einsetzen und ein Angreifer Editor-Rechte oder höhere Rechte besitzt.

    Eine SQL-Injection durch unzureichende Bereinigung eines vom Benutzer gelieferten Parameters und fehlende ausreichende Vorbereitung der bestehenden SQL-Abfrage. Laut Quelle können angemeldete Angreifer mit Editor-Rechten oder höheren Rechten damit zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und vertrauliche Informationen aus der Datenbank auslesen.

    Ich stufe die Lücke als relevant ein. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.1.2.

    Betroffen
    WOLF – WordPress Posts Bulk Editor and Manager Professional
    Behoben in
    1.1.2
    CVSS
    7.6
    Quelle Patchstack
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 13,8
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Gallery Custom Links

    CVE-2026-107757

    Betrifft Sie, wenn Sie Gallery Custom Links bis einschließlich 2.3.3 einsetzen und angemeldete Benutzer ab Subscriber-Rechten Zugriff haben.

    Die Erweiterung ermöglicht gespeichertes Cross-Site Scripting durch unzureichende Eingabebereinigung und Ausgabeprüfung. Die Quelle beschreibt, dass dafür authentifizierte Angreifer mit Subscriber-Rechten oder höher erforderlich sind.

    Eingeschleuste Webskripte werden auf betroffenen Seiten ausgeführt, sobald ein Benutzer eine solche Seite aufruft. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 2.3.4; die Quelle nennt keine Überbrückung.

    Betroffen
    Gallery Custom Links
    Behoben in
    2.3.4
    CVSS
    4.9
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 13,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-16 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.