intelligent piXel

Lagebild

984Meldungen gelesen
1000betreffen Sie
-16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Spin Wheel

    CVE-2026-106031

    Betrifft Sie, wenn Sie das WordPress-Plugin Spin Wheel bis einschließlich 2.2.0 einsetzen. Die Schwachstelle lässt sich ohne Anmeldung ausnutzen.

    Die Quelle beschreibt eine fehlende Berechtigungsprüfung. Dadurch können nicht angemeldete Angreifer eine nicht autorisierte Aktion ausführen.

    Die NVD nennt das Offenlegen und Aufbrauchen gespeicherter Gutscheincodes jeder Kampagne, auch unveröffentlichter. Die CISA bewertet die Schwachstelle mit 6.5, also mittel.

    Aktualisieren Sie Spin Wheel auf 2.2.1.

    Betroffen
    Spin Wheel
    Behoben in
    2.2.1
    CVSS
    6.5
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,16 %
    Perzentil 5,4
    Art
    CWE-284
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    User Registration & Membership

    CVE-2026-109692

    Betrifft Sie, wenn Sie das WordPress-Plugin User Registration & Membership bis einschließlich 5.2.8 einsetzen und ein angemeldetes Konto mit Abonnentenzugriff oder höher vorhanden ist.

    Die Erweiterung prüft bei einer Funktion die erforderliche Berechtigung nicht. Dadurch können angemeldete Angreifer mit Abonnentenzugriff oder höher eine nicht autorisierte Aktion ausführen. Mehr sagt die Quelle zur Wirkung nicht.

    Patchstack bewertet sie mit 7.1, also hoch. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 5.3.0.

    Betroffen
    User Registration & Membership
    Behoben in
    5.3.0
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,16 %
    Perzentil 5,0
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    BSK PDF Manager

    CVE-2026-108498

    Betrifft Sie, wenn Sie BSK PDF Manager bis einschließlich 3.8.1 einsetzen.

    Eine gespeicherte Cross-Site-Scripting-Lücke durch unzureichende Bereinigung von Eingaben und Ausgaben. Ein Angreifer ohne Anmeldung kann Webskripte in Seiten einschleusen, die beim Aufruf einer manipulierten Seite ausgeführt werden.

    Patchstack bewertet die Lücke als hoch. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    BSK PDF Manager
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,15 %
    Perzentil 3,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Social Share Buttons

    CVE-2026-109702

    Betrifft Sie, wenn Sie Social Share Buttons bis einschließlich 1.31 einsetzen und Benutzer mit Subscriber-Rechten oder höher anmelden können.

    Wordfence beschreibt gespeichertes Cross-Site Scripting. Angemeldete Angreifer mit Subscriber-Rechten oder höher können Skripte in Seiten einschleusen, die ausgeführt werden, wenn jemand eine manipulierte Seite aufruft.

    Patchstack bewertet die Lücke mit 7.1, also hoch. Eine weitere Bewertung stuft sie als mittel ein.

    Die Quellen nennen keine behobene Fassung und keine Überbrückung.

    Betroffen
    Social Share Buttons
    CVSS
    7.1
    Quelle Patchstack
    Anmeldung nötig
    laut Wordfence ja, laut CVSS-Vektor nein
    Ausnutzung wahrscheinlich
    0,15 %
    Perzentil 3,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Document Gallery

    CVE-2026-74920

    Betrifft Sie, wenn Sie das WordPress-Plugin Document Gallery bis einschließlich 5.1.1 einsetzen, dessen nicht authentifizierte AJAX-Aktion Eingaben verarbeitet.

    Document Gallery bereinigt Eingaben nicht ausreichend und maskiert Ausgaben nicht korrekt, bevor sie in einem HTML-Attribut der Antwort einer nicht authentifizierten AJAX-Aktion erscheinen. Dadurch können nicht authentifizierte Angreifer Skripte einschleusen, wenn sie einen Benutzer erfolgreich zu einer Aktion wie dem Klicken auf einen Link verleiten. Die Quelle nennt Besucher und eingeloggte Administratoren als mögliche Ziele.

    Die CISA bewertet die Lücke mit 7.1, also hoch. Eine weitere Bewertung stuft sie als mittel ein. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Document Gallery
    CVSS
    7.1
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,15 %
    Perzentil 3,5
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Easy HTTPS Redirection (SSL)

    CVE-2026-104643

    Betrifft Sie, wenn Sie Easy HTTPS Redirection (SSL) bis einschließlich 2.0.1 einsetzen und angemeldete Benutzer Zugriff auf die Website haben.

    Das Plugin prüft bei einigen AJAX-Aktionen nicht, ob ein angemeldeter Benutzer die nötigen Berechtigungen besitzt. Dadurch können angemeldete Benutzer, darunter Benutzer mit der Rolle Subscriber, gesammelte URLs aus privaten und als Entwurf gespeicherten Beiträgen sowie aus Website-Einstellungen auslesen. Nach einem Scan durch einen Administrator lässt sich damit außerdem eine websiteweite Umschreibung dieser URLs auslösen.

    Die CISA bewertet die Lücke mit 4.2, also mittel. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 2.0.2; die Quelle nennt keine Überbrückung.

    Betroffen
    Easy HTTPS Redirection (SSL)
    Behoben in
    2.0.2
    CVSS
    4.2
    Quelle CISA
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,14 %
    Perzentil 3,4
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    FluentBoards

    CVE-2026-109696

    Betrifft Sie, wenn Sie FluentBoards bis einschließlich 2.1.0 einsetzen und ein Angreifer ein angemeldetes Konto ab der Abonnentenrolle nutzen kann.

    Die Erweiterung prüft bei einer Funktion die erforderliche Berechtigung nicht. Dadurch können angemeldete Angreifer mit mindestens der Abonnentenrolle eine nicht autorisierte Aktion ausführen. Ich stufe die Meldung deshalb als relevant für WordPress-Installationen mit FluentBoards ein.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie FluentBoards auf 2.2.0.

    Betroffen
    FluentBoards
    Behoben in
    2.2.0
    CVSS
    5.4
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,14 %
    Perzentil 3,4
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    User Registration & Membership

    CVE-2026-105881

    Betrifft Sie, wenn Sie das WordPress-Plugin bis einschließlich 5.2.8 einsetzen und ein angemeldeter Angreifer ab Contributor-Recht Zugriff hat.

    Ich stufe die Meldung als gespeicherte Cross-Site-Scripting-Lücke ein. Die Quelle führt unzureichende Bereinigung von Eingaben und fehlende Maskierung bei der Ausgabe als Ursache an.

    Angemeldete Angreifer ab Contributor-Recht können beliebige Webskripte in Seiten einfügen. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft.

    Aktualisieren Sie auf 5.3.0.

    Betroffen
    User Registration & Membership
    Behoben in
    5.3.0
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,14 %
    Perzentil 2,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    PowerPack Addons for Elementor (Free Widgets

    CVE-2026-108488

    Betrifft Sie, wenn Sie PowerPack Addons for Elementor bis einschließlich 3.1.0 einsetzen und ein angemeldeter Benutzer mindestens Contributor-Rechte hat.

    Ich stufe die Meldung als gespeichertes Cross-Site-Scripting ein. Die Quelle nennt unzureichende Prüfung von Eingaben und unzureichende Absicherung bei der Ausgabe als Ursache.

    Angemeldete Angreifer mit Contributor-Rechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, wenn ein Benutzer eine manipulierte Seite aufruft.

    Aktualisieren Sie auf 3.1.1.

    Betroffen
    PowerPack Addons for Elementor (Free Widgets
    Behoben in
    3.1.1
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,14 %
    Perzentil 2,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    SureForms

    CVE-2026-108495

    Betrifft Sie, wenn Sie SureForms bis einschließlich 2.12.7 einsetzen und angemeldete Nutzer ab Contributor-Rechten Zugriff haben.

    CVE-2026-108495 ist eine gespeicherte Cross-Site-Scripting-Lücke in SureForms. Unzureichende Eingabeprüfung und Ausgabeaufbereitung ermöglichen es angemeldeten Angreifern ab der Contributor-Rolle, beliebige Webskripte in Seiten einzuschleusen.

    Die eingeschleusten Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft. Ich stufe die Lücke als relevant ein, weil dafür kein anonymer Zugriff genügt, die Quelle die mögliche Wirkung aber klar beschreibt.

    Aktualisieren Sie SureForms auf 2.12.8.

    Betroffen
    SureForms
    Behoben in
    2.12.8
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,14 %
    Perzentil 2,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-16 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.