intelligent piXel

Lagebild

984Meldungen gelesen
1000betreffen Sie
-16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Link Whisper Free

    CVE-2026-109687

    Betrifft Sie, wenn Link Whisper Free bis einschließlich 0.9.7 eingesetzt wird und der Zugriff mit Editor-Rechten oder höher möglich ist.

    Ich stufe die Meldung als relevante SQL-Injection ein. Die Quelle beschreibt eine Blind-SQL-Injection durch unzureichende Bereinigung eines vom Benutzer gelieferten Parameters und unzureichende Vorbereitung einer bestehenden SQL-Abfrage.

    Laut Quelle können angemeldete Angreifer mit Editor-Rechten oder höher zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und vertrauliche Informationen aus der Datenbank auslesen.

    Aktualisieren Sie Link Whisper Free auf 0.9.8.

    Betroffen
    Link Whisper Free
    Behoben in
    0.9.8
    CVSS
    7.6
    Quelle Patchstack
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 12,7
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    eaSYNC Booking – Hotels, Restaurants & Car Rentals

    CVE-2026-103304

    Betrifft Sie, wenn Sie das WordPress-Plugin eaSYNC Booking in einer Fassung bis einschließlich 1.3.30 einsetzen.

    Das Plugin prüft bei mehreren stornierungsbezogenen AJAX-Aktionen weder die Berechtigung noch die Nonce. Dadurch können nicht angemeldete Angreifer Buchungsstornierungsanfragen erstellen, Benachrichtigungs-E-Mails auslösen und deren Inhalt überschreiben.

    Ich stufe die Lücke als mittel ein. Die CISA bewertet sie mit 5.3, also mittel. Die Quelle nennt keine weiteren Voraussetzungen für die nicht autorisierte Aktion.

    Aktualisieren Sie auf 1.3.31.

    Betroffen
    eaSYNC Booking – Hotels, Restaurants & Car Rentals
    Behoben in
    1.3.31
    CVSS
    5.3
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,22 %
    Perzentil 12,0
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    WX Subscribe

    CVE-2026-91833

    Betrifft Sie, wenn Sie WX Subscribe bis einschließlich 1.2.1 einsetzen und der Zahlungsschlüssel nicht konfiguriert ist.

    WX Subscribe verarbeitet einen nicht ausreichend bereinigten Parameter in einer SQL-Abfrage. Dadurch können nicht angemeldete Angreifer SQL-Injection-Angriffe ausführen und laut Wordfence weitere SQL-Abfragen an bestehende Abfragen anhängen, um vertrauliche Informationen aus der Datenbank auszulesen.

    Die CISA bewertet die Lücke mit 6,8, also mittel. Eine weitere Bewertung stuft sie als hoch ein. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    WX Subscribe 微信支付付费订阅
    CVSS
    6.8
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,22 %
    Perzentil 11,5
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Visual Form Builder

    CVE-2026-105974

    Betrifft Sie, wenn Sie Visual Form Builder bis einschließlich 3.1 einsetzen und angemeldete Benutzer Formulareinsendungen lesen können.

    Die Erweiterung prüft laut Quelle nicht, ob ein angemeldeter Benutzer die jüngsten Formulareinsendungen sehen darf. Dadurch können Benutzer mit Abonnentenrechten oder höher fremde Kontaktdaten lesen, darunter Namen, E-Mail-Adressen, Formulartitel und Zeitstempel.

    Die CISA bewertet die Lücke mit 4.3, also mittel. Sie erfordert eine Anmeldung und steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Visual Form Builder
    CVSS
    4.3
    Quelle CISA
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 11,3
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Active Woot Products Tables for WooCommerce. 100% FREE

    CVE-2026-108489

    Betrifft Sie, wenn Sie Active Woot Products Tables for WooCommerce. 100% FREE bis einschließlich Version 2.1.3 einsetzen.

    Das Plugin kann laut Quelle vertrauliche Benutzer- oder Konfigurationsdaten preisgeben. Dafür ist keine Anmeldung erforderlich. Ich stufe die Meldung deshalb als relevant ein, auch wenn die Quelle keine weitergehenden Folgen nennt.

    Die Quelle beschreibt die Schwachstelle als Einfügen vertraulicher Informationen in übermittelte Daten. Sie nennt Active Woot Products Tables for WooCommerce. 100% FREE bis einschließlich 2.1.3 als betroffen.

    Aktualisieren Sie auf 2.1.4.

    Betroffen
    Active Woot Products Tables for WooCommerce. 100% FREE
    Behoben in
    2.1.4
    CVSS
    5.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 10,1
    Art
    CWE-201
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Document Gallery

    CVE-2026-74923

    Betrifft Sie, wenn Sie Document Gallery bis einschließlich 5.1.1 einsetzen. Unangemeldete Nutzer können Medieninformationen und direkte Dateiverweise auslesen.

    Das Plugin prüft beim Erzeugen einer Galerie nicht, ob eine anfragende Person dazu berechtigt ist oder Eigentümerin der Inhalte ist. Dadurch können unangemeldete Nutzer Titel, Beschreibungen und direkte Datei-URLs von Medien auslesen, die unveröffentlichten, privaten oder gelöschten Inhalten zugeordnet sind.

    Wordfence beschreibt die Lücke als Offenlegung vertraulicher Informationen und nennt auch Benutzer- oder Konfigurationsdaten. Die CISA bewertet sie mit 5.3, also mittel. Ich stufe sie als diese Woche ein. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Document Gallery
    CVSS
    5.3
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 10,1
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Countdown Timer – Widget Countdown

    CVE-2026-16495

    Betrifft Sie, wenn Sie das WordPress-Plugin Countdown Timer – Widget Countdown bis einschließlich 3.0.1 einsetzen und angemeldete Angreifer ab Contributor-Rechten Zugriff haben.

    Ich stufe sie als mittel ein. Wordfence bewertet sie mit 6.4, also mittel. Die Lücke ermöglicht gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabe-Escaping.

    Angemeldete Angreifer ab Contributor-Rechten können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Countdown Timer – Widget Countdown
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,21 %
    Perzentil 10,0
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    Coinsnap Bitcoin Crowdfunding

    CVE-2026-92427

    Betrifft Sie, wenn Sie Coinsnap Bitcoin Crowdfunding bis einschließlich 1.2.0 einsetzen; die Quelle nennt keine weitere Voraussetzung.

    Die NVD beschreibt, dass das Plugin das Geheimnis für die Authentifizierung des Zahlungsdienst-Webhooks nicht schützt und es nicht angemeldeten Nutzern offenlegt. Dadurch wird die Signaturprüfung des Webhooks unwirksam. Nicht angemeldete Angreifer können laut Quelle gefälschte Zahlungsbestätigungen senden und beliebige Spenden mit selbst gewählten Beträgen, Namen und Nachrichten als abgeschlossen erfassen.

    Wordfence beschreibt zusätzlich eine Offenlegung sensibler Benutzer- oder Konfigurationsdaten. Die CISA bewertet die Schwachstelle mit 5,3, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Coinsnap Bitcoin Crowdfunding
    CVSS
    5.3
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,19 %
    Perzentil 8,6
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Visual Form Builder

    CVE-2026-105973

    Betrifft Sie, wenn Sie Visual Form Builder bis einschließlich 3.1 einsetzen und ein angemeldeter Benutzer mindestens die Abonnentenrolle hat.

    Visual Form Builder prüft beim Ändern der Formularfeldstruktur die Berechtigung nicht ausreichend. Ein angemeldeter Benutzer ab der Abonnentenrolle kann dadurch die Feldstruktur eines Formulars verändern und dessen öffentliche Darstellung dauerhaft beschädigen.

    Die CISA bewertet sie mit 4.3, also mittel. Eine Anmeldung ist laut Quelle erforderlich. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Visual Form Builder
    CVSS
    4.3
    Quelle CISA
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 7,7
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Quick PayPal Payments: Payment Button & Form

    CVE-2026-108492

    Betrifft Sie, wenn Sie Quick PayPal Payments: Payment Button & Form in einer Fassung bis einschließlich 6.0.3 einsetzen.

    Die Erweiterung prüft bei einer Funktion die erforderliche Berechtigung nicht. Dadurch können nicht angemeldete Angreifer eine nicht autorisierte Aktion ausführen.

    Ich stufe die Lücke als relevant ein, obwohl der Datensatz sie nicht als aktiv ausgenutzt führt. Die Quelle nennt keine weiteren Einzelheiten zur möglichen Aktion.

    Aktualisieren Sie auf 6.0.4.

    Betroffen
    Quick PayPal Payments: Payment Button & Form
    Behoben in
    6.0.4
    CVSS
    5.3
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,18 %
    Perzentil 7,5
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-16 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.