intelligent piXel

Lagebild

782Meldungen gelesen
600betreffen Sie
182geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 600 Einträgen
  1. Diese Woche Wordfence

    LatePoint

    CVE-2026-5391

    Betrifft Sie, wenn Sie das Plugin LatePoint in einer Version bis einschließlich 5.3.2 auf Ihrer WordPress-Seite einsetzen und dort Benutzer mit der Rolle Mitarbeiter oder höher Zugriff haben.

    Eine gespeicherte Cross-Site-Scripting-Lücke im Shortcode des Plugins. Ein angemeldeter Benutzer mit mindestens Mitarbeiter-Rechten kann Schadcode in Seiten einfügen, der beim Aufruf der Seite im Browser anderer Besucher ausgeführt wird. Der CVSS von 6,4 ist mittel, aber ein Mitarbeiterkonto ist schnell erstellt oder übernommen, und ein erfolgreicher Angriff auf eine vertrauenswürdige Seite hat weitreichende Folgen.

    Aktualisieren Sie LatePoint auf Version 5.4.0. Die Quelle nennt keine Überbrückung, die das Problem ohne Update löst.

    Betroffen
    Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress
    Behoben in
    5.4.0
    CVSS
    6.4
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,16 %
    Perzentil 5,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    05.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Sofort Wordfence

    LightSync Pro

    CVE-2026-6147

    Betrifft Sie, wenn Sie das WordPress-Plugin LightSync Pro in einer Version bis einschließlich 2.1.6 einsetzen und auf Ihrer Installation Benutzer mit der Rolle Autor oder höher existieren.

    Die Funktion zum Ersetzen von Mediendateien prüft den Dateityp nicht. Ein angemeldeter Benutzer mit Autor-Rechten kann eine beliebige Datei auf den Server laden. Damit ist der Weg zur Codeausführung offen.

    Aktualisieren Sie das Plugin auf eine Version, die die Lücke schließt. Die Quelle nennt keine konkrete Versionsnummer für die Behebung und keine Überbrückung. Bis zum Update sollten Sie die Rechte von Autoren und anderen Rollen prüfen und auf das Nötigste beschränken.

    Betroffen
    LightSync Pro – Connect & Sync Cloud Assets | Lightroom, Canva, Figma, Dropbox & Shutterstock
    Behoben in
    2.1.7
    CVSS
    8.8
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,66 %
    Perzentil 48,5
    Art
    CWE-434
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Sofort Wordfence

    Multi Uploader for Gravity Forms

    CVE-2026-5581

    Betrifft Sie, wenn Sie das Plugin Multi Uploader for Gravity Forms in einer Version bis einschließlich 1.1.8 einsetzen und ein Formular mit einem Mehrfach-Upload-Feld öffentlich erreichbar ist.

    Ein fehlender Berechtigungscheck in der Löschfunktion des Plugins. Ein Angreifer ohne Konto kann beliebige Mediendateien in Ihrer WordPress-Bibliothek löschen, wenn er die ID des Anhangs kennt. Die dafür nötige Sicherheitsnummer (Nonce) wird auf jeder öffentlichen Seite mit einem Upload-Formular im Quelltext offengelegt. Im schlimmsten Fall ist die gesamte Mediathek löschbar.

    Aktualisieren Sie auf eine Version nach 1.1.8. Gibt es noch keine, deaktivieren Sie das Plugin, bis die Behebung vorliegt.

    Betroffen
    Multi Uploader for Gravity Forms
    Behoben in
    1.1.9
    CVSS
    9.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,46 %
    Perzentil 37,8
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Sofort Wordfence

    Material Dashboard

    CVE-2026-6079

    Betrifft Sie, wenn Sie das WordPress-Plugin Material Dashboard in einer Version bis einschließlich 1.4.10 einsetzen.

    Dem Plugin fehlt eine Berechtigungsprüfung. Ein Angreifer ohne Konto kann darüber geplante Aufgaben einsehen, ausführen und löschen. Das Einsehen kann personenbezogene Daten offenlegen, das Ausführen und Löschen greift in Ihre Abläufe ein.

    Aktualisieren Sie auf Version 1.4.11.

    Betroffen
    Material Dashboard
    Behoben in
    1.4.11
    CVSS
    7.3
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,39 %
    Perzentil 32,6
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Sofort Wordfence

    VikAppointments Services Booking Calendar

    CVE-2026-15918

    Betrifft Sie, wenn Sie das Plugin VikAppointments Services Booking Calendar in einer Version bis einschließlich 1.2.19 auf Ihrer WordPress-Seite einsetzen.

    Ein Parameter, der die Sortierung der öffentlichen Bewertungsliste steuert, wird ungeprüft aus der Anfrage übernommen und direkt in eine Datenbankabfrage eingebaut. Ein Angreifer ohne Konto kann darüber eigene SQL-Befehle einschleusen und die Datenbank auslesen. Das schließt sensible Daten wie WordPress-Nutzerdaten ein.

    Aktualisieren Sie das Plugin auf Version 1.2.20. Eine Überbrückung nennt die Quelle nicht.

    Betroffen
    VikAppointments Services Booking Calendar
    Behoben in
    1.2.20
    CVSS
    7.5
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,39 %
    Perzentil 32,0
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Sofort Wordfence

    Easy Post Submission

    CVE-2026-4431

    Betrifft Sie, wenn Sie das Plugin Easy Post Submission in einer Version bis einschließlich 2.3.0 einsetzen.

    Ein AJAX-Endpunkt, der für nicht angemeldete Besucher erreichbar ist, prüft nicht, ob der Aufrufer berechtigt ist. Ein Angreifer kann damit Titel, Inhalt, Auszug, Kategorien und Schlagwörter beliebiger Beiträge ändern und den Status auf Entwurf setzen. Der Beitrag ist dann nicht mehr öffentlich sichtbar.

    Aktualisieren Sie auf Version 2.4.0.

    Betroffen
    Easy Post Submission – Frontend Posting, Guest Publishing & Submit Content for WordPress
    Behoben in
    2.4.0
    CVSS
    9.1
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,33 %
    Perzentil 26,3
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Page and Post Restriction

    CVE-2026-12000

    Betrifft Sie, wenn Sie das Plugin Page and Post Restriction einsetzen, um Seiten oder Beiträge für nicht angemeldete Besucher zu sperren.

    Das Plugin soll Seiten und Beiträge vor nicht angemeldeten Besuchern verbergen. Über die REST-Schnittstelle von WordPress lässt sich dieser Schutz umgehen. Die internen Schutzmechanismen des Plugins greifen nur auf eine Teilmenge der Konfiguration zurück und übersehen die globalen Zugriffseinstellungen. Ein Fremder kann gesperrte Inhalte über die Standardendpunkte der REST-Schnittstelle abrufen, ohne ein Konto zu besitzen.

    Die Lücke untergräbt den einzigen Zweck des Plugins. Wer es einsetzt, um Inhalte zu schützen, hat aktuell keinen Schutz.

    Aktualisieren Sie das Plugin auf die neueste Version und prüfen Sie, ob die gesperrten Inhalte weiterhin über die REST-Schnittstelle erreichbar sind.

    Betroffen
    Page and Post Restriction
    Behoben in
    1.4.2
    CVSS
    7.5
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,66 %
    Perzentil 48,7
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    ShopLentor

    CVE-2026-6020

    Betrifft Sie, wenn Sie ShopLentor bis einschließlich Version 3.3.7 einsetzen und ein Angreifer Administratorzugang erlangt hat.

    Ein Administrator kann über die REST-Schnittstelle eine beliebige PHP-Funktion aufrufen. Die Prüfung, welche Funktionen erlaubt sind, fehlt. Mit diesen Rechten ist der Angreifer ohnehin schon tief im System, aber diese Lücke macht den finalen Schritt zur vollständigen Übernahme besonders einfach.

    Aktualisieren Sie auf Version 3.3.8.

    Betroffen
    ShopLentor – All-in-One WooCommerce Growth & Store Enhancement Plugin
    Behoben in
    3.3.8
    CVSS
    7.2
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,54 %
    Perzentil 42,8
    Art
    CWE-470
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Askeet — Talk to Your WooCommerce Data

    CVE-2026-5651

    Betrifft Sie, wenn Sie das Plugin Askeet in einer Version bis einschließlich 3.0 einsetzen und ein Angreifer über ein Administratorkonto verfügt.

    Eine SQL-Injection über den Parameter 'sql_query' in mehreren AJAX-Aktionen. Der Filter askeet_is_safe_query() soll gefährliche Schlüsselwörter erkennen, lässt sich aber mit bedingten MySQL-Kommentaren umgehen. Der Filter entfernt normale Blockkommentare, bevor er prüft, aber MySQL führt bedingte Kommentare als Code aus. So kann ein Angreifer mit Administratorrechten eigene Abfragen an bestehende anhängen und die Datenbank auslesen.

    Die Lücke setzt ein Administratorkonto voraus. Das schränkt den Kreis der Angreifer stark ein, weshalb die Einstufung niedrig bleibt. Wer ein Administratorkonto hat, kann ohnehin großen Schaden anrichten. Der zusätzliche Weg über die Datenbank macht die Sache aber nicht harmlos.

    Aktualisieren Sie auf Version 3.1.

    Betroffen
    Askeet — Talk to Your WooCommerce Data
    Behoben in
    3.1
    CVSS
    4.9
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,38 %
    Perzentil 30,9
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    DTX – Dynamic Text Extension for Contact Form 7

    CVE-2026-5116

    Betrifft Sie, wenn Sie DTX – Dynamic Text Extension for Contact Form 7 in Version 5.0.5 oder älter einsetzen und Benutzer mit Editor-Rechten oder höher haben.

    Ein gespeichertes Cross-Site-Scripting in der Verwaltungsoberfläche. Ein Angreifer mit Editor-Konto kann Skripte in Formular-Shortcodes hinterlegen, die ausgeführt werden, sobald ein Administrator die Scan-Funktion für Formularfelder aufruft. Der Schaden hängt davon ab, was das Skript tut, aber der Angreifer handelt im Kontext des Administrators.

    Die Lücke setzt ein Konto voraus, deshalb steht sie nicht auf sofort. Wer Editoren hat, die er nicht selbst bestimmt, sollte trotzdem handeln.

    Aktualisieren Sie auf die Version, die die Ausgabebereinigung korrigiert. Die Quelle nennt die bereinigte Fassung nicht, also prüfen Sie das Update im WordPress-Plugin-Verzeichnis.

    Betroffen
    DTX – Dynamic Text Extension for Contact Form 7
    Behoben in
    5.0.6
    CVSS
    4.4
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,30 %
    Perzentil 22,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    04.08.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

182 geprüft und verworfen, mit Begründung
  • 118 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 19 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 17 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 12 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • 11 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 10 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 10 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 6 MeldungenIBM-Unternehmenssoftware wie DB2 oder WebSphere. Sie läuft in Rechenzentren mit eigener Betriebsmannschaft, auf einem Linux-Webserver mit WordPress kommt sie nicht vor. Wer sie im Haus hat, bezieht die Hinweise dazu über den Wartungsvertrag.
  • CVE-2021-47378Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-5358GNU-libc-Meldung, die NVD als zurückgewiesen führt, weil die betroffene NIS+-Schnittstelle auf Linux nie ausgeliefert wurde und keine Vertrauensgrenze überschreitet.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2026-16502Live Composer ist ein WordPress-Plugin mit geringer Verbreitung, und die Lücke erfordert ein angemeldetes Konto sowie eine zusätzlich installierte POP-Kette, ohne die sie keine Wirkung entfaltet.
  • CVE-2026-81766WordPress-Plugin, erfordert eine benutzerdefinierte Rolle und eine nicht standardmäßige Multisite-Konfiguration, die Reichweite ist zu klein.
  • CVE-2026-82226WordPress-Plugin, ohne Anmeldung auslösbar, aber ohne bekannte POP-Kette im Plugin selbst, die Auswirkung hängt von weiteren installierten Erweiterungen ab.
  • CVE-2023-53034Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-38177Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-38236Linux-Kernel, Use-after-free über lokale Unix-Sockets. Die Ausnutzung erfordert bereits einen lokalen Prozess oder ein Konto und bietet keine entfernte Angriffsfläche.
  • CVE-2025-38353Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2024-58239Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50339Linux-Kernel, Fehler im Bluetooth-Stack. Betrifft nur Bluetooth-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-39891Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50556Linux-Kernel, Fehler im DRM-Treiber. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2025-40029Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-40086Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-40110Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-40178Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50583Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-50712Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-42719Linux-Kernel, Fehler im WLAN-Stack. Betrifft nur WLAN-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-71102Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-31431Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-0864CPython, Interpreter auf Servern vorinstalliert. Lücke erfordert Kontrolle über geschriebene Werte, nicht aus der Ferne auslösbar.