intelligent piXel

Lagebild

984Meldungen gelesen
1000betreffen Sie
-16geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    Rede Itaú for WooCommerce

    CVE-2026-92428

    Betrifft Sie, wenn Sie das WordPress-Plugin Rede Itaú for WooCommerce bis einschließlich 5.5.2 einsetzen. Es ändert Bestellstatus ohne Anmeldung.

    Die Erweiterung prüft laut Quelle die Echtheit einer Zahlungsrückmeldung nicht, bevor sie den Status einer Bestellung aktualisiert. Dadurch können nicht authentisierte Angreifer den Status beliebiger WooCommerce-Bestellungen ändern, auch bei bereits bezahlten oder abgeschlossenen Bestellungen.

    Die Karte bewertet CVE-2026-92428 mit 5.3, also mittel nach CVSS. Eine weitere Bewertung stuft sie als hoch ein. Eine Anmeldung ist laut Quelle nicht erforderlich.

    Aktualisieren Sie auf 5.5.3.

    Betroffen
    Rede Itaú for WooCommerce
    Behoben in
    5.5.3
    CVSS
    5.3
    Quelle WPScan
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,11 %
    Perzentil 1,4
    Art
    CWE-345
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Rede Itaú for WooCommerce

    CVE-2026-92429

    Betrifft Sie, wenn Sie Rede Itaú for WooCommerce in Version 3.7.1 bis 5.5.2 einsetzen.

    Die Erweiterung prüft die Echtheit einer Zahlungsrückmeldung nicht ausreichend, bevor sie den Status einer Bestellung ändert. Nicht angemeldete Angreifer können dadurch den Status beliebiger WooCommerce-Bestellungen verändern, unbezahlte Bestellungen als bezahlt markieren oder abgeschlossene Bestellungen stornieren.

    WPScan bewertet die Lücke mit 5,3, also mittel. Eine Anmeldung ist laut Quelle nicht nötig.

    Aktualisieren Sie auf 5.5.3.

    Betroffen
    Rede Itaú for WooCommerce
    Behoben in
    5.5.3
    CVSS
    5.3
    Quelle WPScan
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,11 %
    Perzentil 1,4
    Art
    CWE-345
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    Coinbase Commerce Payment Gateway for WooCommerce

    CVE-2026-103311

    Betrifft Sie, wenn Sie das WooCommerce-Plugin Coinbase Commerce Payment Gateway bis einschließlich 1.4.1 einsetzen und Zahlungen darüber annehmen.

    Ich stufe sie als mittel ein. WPScan bewertet die Lücke mit 5.3, also mittel. Eingehende Zahlungsbenachrichtigungen werden nicht auf ihre Echtheit geprüft, weil das gemeinsame Geheimnis zur Signaturprüfung standardmäßig leer ist und ein nicht eingerichtetes Geheimnis nicht abgewiesen wird.

    Dadurch können nicht angemeldete Angreifer gefälschte Benachrichtigungen senden, die beliebige Bestellungen als bezahlt markieren oder bereits bezahlte Bestellungen stornieren. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Coinbase Commerce Payment Gateway for WooCommerce
    CVSS
    5.3
    Quelle WPScan
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,11 %
    Perzentil 1,4
    Art
    CWE-345
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    User Registration & Membership

    CVE-2026-103076

    Betrifft Sie, wenn Sie das Plugin in einer Fassung bis einschließlich 5.2.8 einsetzen. Die Quelle beschreibt eine CSRF-Lücke.

    Eine Cross-Site-Request-Forgery-Lücke durch fehlende oder fehlerhafte Prüfung eines Sicherheitsmerkmals. Ein nicht angemeldeter Angreifer kann dadurch eine nicht autorisierte Aktion ausführen, wenn er einen Administrator zum Anklicken eines präparierten Links bringt.

    Ich stufe sie als relevant ein. Die Quelle nennt keine konkretere Wirkung der nicht autorisierten Aktion. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 5.3.0; die Quelle nennt keine Überbrückung.

    Betroffen
    User Registration & Membership
    Behoben in
    5.3.0
    CVSS
    5.4
    Quelle Patchstack
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,10 %
    Perzentil 0,9
    Art
    CWE-352
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    BuddyPress XProfile Custom Image Field

    Wordfence-Meldung

    Betrifft Sie, wenn Sie BuddyPress XProfile Image Field bis einschließlich 3.1.0 mit offener Registrierung und einem Bild-Profilfeld im Anmeldeformular einsetzen.

    Das Plugin erlaubt nicht angemeldeten Angreifern, beliebige Dateien auf dem Server zu löschen. Voraussetzung sind offene Registrierung und ein Bild-Profilfeld im Anmeldeformular.

    Laut Quelle kann das Löschen der passenden Datei zu Codeausführung aus der Ferne führen.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    BuddyPress XProfile Custom Image Field
    CVSS
    9.1
    Quelle Wordfence
    Anmeldung nötig
    nein
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Zur Kenntnis Wordfence

    PeproDev Branches Map (Mapify)

    CVE-2025-9373

    Betrifft Sie, wenn Sie PeproDev Branches Map bis einschließlich 3.0.1 einsetzen und ein angemeldetes Konto mit Contributor-Rechten oder höher vorhanden ist.

    Die Erweiterung enthält gespeichertes Cross-Site Scripting durch unzureichende Bereinigung von Eingaben und Absicherung der Ausgabe. Angemeldete Angreifer mit Contributor-Rechten oder höher können beliebige Webskripte in Seiten einfügen, die beim Aufruf einer betroffenen Seite durch einen Benutzer ausgeführt werden.

    Ich stufe die Lücke als relevant ein, obwohl sie eine Anmeldung voraussetzt. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 3.0.2.

    Betroffen
    PeproDev Branches Map (Mapify)
    Behoben in
    3.0.2
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 15,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Zur Kenntnis Wordfence

    FV Player 8

    CVE-2026-95807

    Betrifft Sie, wenn Sie FV Player 8 bis 8.1.7 einsetzen und ein Angreifer Contributor-Rechte hat oder Kommentare Vimeo- und YouTube-Links verarbeiten.

    Eine gespeicherte Cross-Site-Scripting-Lücke im Shortcode-Attribut „synopsis“. Unzureichende Eingabeprüfung und Ausgabeaufbereitung erlauben angemeldeten Angreifern ab Contributor-Rechten, beliebige Webskripte in Seiten einzuschleusen. Diese Skripte werden ausgeführt, wenn jemand eine betroffene Seite aufruft.

    Auch nicht angemeldete Besucher können die Lücke ausnutzen, wenn die Verarbeitung von Vimeo- und YouTube-Links in Kommentaren aktiviert ist. Dann verarbeitet das Plugin Shortcodes im Kommentartext.

    Aktualisieren Sie auf 8.1.8.

    Betroffen
    FV Player 8
    Behoben in
    8.1.8
    CVSS
    6.4
    Quelle Wordfence
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 15,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Zur Kenntnis Wordfence

    Document Gallery

    CVE-2026-74921

    Betrifft Sie, wenn Sie Document Gallery in den Fassungen 4.0 bis 5.1.1 einsetzen und ein angemeldeter Nutzer ab Contributor Inhalte einfügen kann.

    Document Gallery enthält gespeichertes Cross-Site Scripting durch unzureichende Eingabeprüfung und Ausgabe-Kodierung. Ein angemeldeter Angreifer mit Contributor-Rechten oder höher kann Webskripte in Seiten einfügen. Sie werden ausgeführt, sobald jemand eine betroffene Seite aufruft.

    Ich stufe die Lücke mit einem CVSS von 6.8 als mittel ein. Die Bewertung stammt von WPScan. Die Quelle nennt als Wirkung die Ausführung der eingefügten Skripte beim Aufruf der betroffenen Seite, auch durch höher berechtigte Nutzer.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Document Gallery
    CVSS
    6.8
    Quelle WPScan
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 13,7
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Zur Kenntnis Wordfence

    Download Monitor integration for WooCommerce

    CVE-2026-109896

    Betrifft Sie, wenn Sie Download Monitor integration for WooCommerce bis einschließlich 1.0.3 einsetzen und ein Angreifer mit Kundenrechten oder höheren Rechten angemeldet ist.

    Ich stufe die Meldung als Kenntnis ein. Eine Funktion prüft die Berechtigung nicht. Dadurch können angemeldete Angreifer mit Kundenrechten oder höheren Rechten eine nicht autorisierte Aktion ausführen. Die Quelle benennt diese Aktion nicht.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 1.0.4.

    Betroffen
    Download Monitor integration for WooCommerce
    Behoben in
    1.0.4
    CVSS
    4.3
    Quelle Patchstack
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,16 %
    Perzentil 5,0
    Art
    CWE-862
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    13.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Sofort Wordfence

    File Upload to Order für WooCommerce

    CVE-2026-107594

    Betrifft Sie, wenn Sie File Upload to Order für WooCommerce bis einschließlich 1.1.3 einsetzen und die Löschfunktion ohne Anmeldung erreichbar ist.

    Die Erweiterung löscht Dateien anhand von Dateipfaden, die nicht ausreichend geprüft oder begrenzt werden. Die Aktion ist laut Quelle ohne Anmeldung erreichbar und ermöglicht die Löschung beliebiger Dateien auf dem Server.

    Ich stufe die Lücke als kritisch ein. Die CISA bewertet sie mit 10.0, also kritisch. Das Löschen der richtigen Datei kann laut Quelle zu einer vollständigen Übernahme der Website oder zu Codeausführung führen. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 1.1.4; die Quelle nennt keine Überbrückung.

    Betroffen
    File Upload to Order for WooCommerce
    Behoben in
    1.1.4
    CVSS
    10.0
    Quelle CISA
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,46 %
    Perzentil 39,0
    Art
    CWE-73
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    12.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

-16 geprüft und verworfen, mit Begründung
  • 113 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 MeldungenEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.