intelligent piXel

Lagebild

984Meldungen gelesen
1000betreffen Sie
-16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Prime Slider

    CVE-2026-109691

    Betrifft Sie, wenn Sie Prime Slider bis einschließlich 4.7.1 einsetzen und angemeldete Benutzer mit Contributor-Rechten oder höher Zugriff haben.

    Die Erweiterung enthält eine gespeicherte Cross-Site-Scripting-Lücke durch unzureichende Eingabebereinigung und Ausgabe-Escaping. Angemeldete Angreifer mit Contributor-Rechten oder höher können eigene Webskripte in Seiten einschleusen.

    Die Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft. Ich stufe die Meldung als relevant ein, auch wenn die Quelle keine weiteren Auswirkungen nennt.

    Aktualisieren Sie Prime Slider auf 4.7.2.

    Betroffen
    Prime Slider
    Behoben in
    4.7.2
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,14 %
    Perzentil 2,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    SureCart

    CVE-2026-109697

    Betrifft Sie, wenn Sie SureCart bis einschließlich 4.9.4 einsetzen und ein angemeldeter Benutzer mindestens Rechte auf Contributor-Ebene hat.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting durch unzureichende Eingabeprüfung und Ausgabekodierung. Angemeldete Angreifer ab der Contributor-Ebene können dadurch beliebige Webskripte in Seiten einschleusen.

    Diese Skripte werden ausgeführt, sobald ein Benutzer eine manipulierte Seite aufruft. Ich stufe die Lücke trotz fehlender Aufnahme in den KEV-Katalog als relevant ein, weil dafür kein Administratorzugang nötig ist.

    Aktualisieren Sie SureCart auf 4.9.5.

    Betroffen
    SureCart
    Behoben in
    4.9.5
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,14 %
    Perzentil 2,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    FV Simpler SEO

    CVE-2026-54868

    Betrifft Sie, wenn Sie FV Simpler SEO bis einschließlich 1.9.7 einsetzen und ein angemeldetes Konto mit Contributor-Rechten oder höher vorhanden ist.

    FV Simpler SEO kann Eingaben unzureichend bereinigen und Ausgaben unzureichend schützen. Dadurch können angemeldete Angreifer mit Contributor-Rechten oder höher beliebige Webskripte in Seiten einschleusen, die beim Aufruf einer betroffenen Seite ausgeführt werden.

    Ich stufe die Lücke als relevant ein, weil die Quelle eine Ausführung der eingeschleusten Skripte bei jedem Aufruf der betroffenen Seite nennt.

    Aktualisieren Sie FV Simpler SEO auf 1.9.8.

    Betroffen
    FV Simpler SEO
    Behoben in
    1.9.8
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,13 %
    Perzentil 2,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    IMPress for IDX Broker

    CVE-2026-54869

    Betrifft Sie, wenn Sie IMPress for IDX Broker bis einschließlich 3.3.1 einsetzen und ein angemeldeter Benutzer mindestens Contributor-Rechte hat.

    Ich stufe sie als gespeichertes Cross-Site-Scripting ein. Angemeldete Angreifer mit Contributor-Rechten oder höher können beliebige Webskripte in Seiten einschleusen.

    Die Skripte werden ausgeführt, sobald ein Benutzer eine manipulierte Seite aufruft. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    IMPress for IDX Broker
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,13 %
    Perzentil 2,6
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Books Gallery: Book Showcase, Library & Affiliate Plugin

    CVE-2026-108487

    Betrifft Sie, wenn Sie das WordPress-Plugin Books Gallery bis einschließlich 4.8.4 einsetzen und angemeldete Benutzer Zugriff ab Contributor-Ebene haben.

    Ich stufe die Lücke als gespeichertes Cross-Site-Scripting ein. Unzureichende Eingabebereinigung und Ausgabeescapierung ermöglichen angemeldeten Benutzern ab der Contributor-Ebene, beliebige Webskripte einzuschleusen. Diese Skripte werden ausgeführt, wenn jemand eine manipulierte Seite aufruft.

    Die Quelle nennt keine weiteren Voraussetzungen und keine konkrete Wirkung über das Ausführen der eingeschleusten Skripte hinaus. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 4.8.5; die Quelle nennt keine Überbrückung.

    Betroffen
    Books Gallery – Book Showcase, Library & Affiliate Plugin
    Behoben in
    4.8.5
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,13 %
    Perzentil 2,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Responsive Slider

    CVE-2026-54867

    Betrifft Sie, wenn Sie Responsive Slider bis einschließlich 0.1.9 einsetzen und ein angemeldeter Angreifer mindestens Contributor-Rechte hat.

    Ich stufe die Meldung als relevante gespeicherte Cross-Site-Scripting-Lücke ein. Laut Quelle beruht sie auf unzureichender Eingabebereinigung und Ausgabeabsicherung.

    Ein angemeldeter Angreifer mit mindestens Contributor-Rechten kann beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine manipulierte Seite aufruft. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Responsive Slider
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,13 %
    Perzentil 2,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Weaver Xtreme Theme Support

    CVE-2026-54870

    Betrifft Sie, wenn Sie Weaver Xtreme Theme Support bis einschließlich 7.0.1 einsetzen und angemeldete Benutzer mit Contributor-Rechten oder höher Zugriff haben.

    Ich stufe die Meldung als gespeichertes Cross-Site-Scripting ein. Die Quelle nennt unzureichende Eingabebereinigung und Ausgabe-Escaping als Ursache.

    Angemeldete Angreifer mit Contributor-Rechten oder höher können beliebige Webskripte in Seiten einschleusen. Diese Skripte werden ausgeführt, sobald jemand eine betroffene Seite aufruft. Die Quelle nennt keine weiteren Auswirkungen.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Weaver Xtreme Theme Support
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,13 %
    Perzentil 2,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    User Registration & Membership

    CVE-2026-105882

    Betrifft Sie, wenn Sie das Plugin bis einschließlich Version 5.2.8 einsetzen und angemeldete Personen ab Subscriber-Ebene Zugriff haben.

    Die Erweiterung verarbeitet Eingaben nicht ausreichend und gibt sie nicht sicher aus. Dadurch können angemeldete Angreifer ab der Subscriber-Ebene oder höher gespeicherte Skripte in Seiten einschleusen, die bei späteren Zugriffen ausgeführt werden.

    Ich stufe die Lücke nach CVSS mit 6,5 als mittel ein. Die Bewertung stammt von Patchstack. Sie steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 5.3.0; die Quelle nennt keine Überbrückung.

    Betroffen
    User Registration & Membership
    Behoben in
    5.3.0
    CVSS
    6.5
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,13 %
    Perzentil 2,4
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    Cardinity Payment Gateway for WooCommerce

    CVE-2026-103324

    Betrifft Sie, wenn Sie Cardinity Payment Gateway for WooCommerce in Version 3.2.6 bis 3.4.1 einsetzen und das Projektschlüssel-Feld leer ist.

    Das Plugin prüft Zahlungsbenachrichtigungen nicht ausreichend, wenn das Projektschlüssel-Feld leer ist. Dadurch können nicht angemeldete Angreifer eine gültige Zahlungsbestätigung fälschen und beliebige Bestellungen als bezahlt oder fehlgeschlagen markieren.

    Die NVD beschreibt die Lücke als Manipulation des Bestellstatus ohne Anmeldung. Die NVD bewertet sie mit 5.3, also mittel, nach WPScan.

    Aktualisieren Sie auf 3.4.2; die Quelle nennt keine Überbrückung.

    Betroffen
    Cardinity Payment Gateway for WooCommerce
    Behoben in
    3.4.2
    CVSS
    5.3
    Quelle WPScan
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,12 %
    Perzentil 2,0
    Art
    CWE-345
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Document Gallery

    CVE-2026-74922

    Betrifft Sie, wenn Sie Document Gallery in Fassung 4.1 bis 5.1.1 einsetzen und kein gemeinsames Geheimnis eingerichtet haben.

    Die Quelle beschreibt eine fehlende Signaturprüfung an einer Schnittstelle ohne Anmeldung. Dadurch können Fremde die veröffentlichte Bildvorschau jedes Dokuments ersetzen.

    WPScan bewertet sie mit 5,3, also mittel. Sie steht nicht im KEV Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt weder eine behobene Fassung noch eine Überbrückung.

    Betroffen
    Document Gallery
    CVSS
    5.3
    Quelle WPScan
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,12 %
    Perzentil 1,6
    Art
    CWE-345
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-16 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.