intelligent piXel

Lagebild

1.126Meldungen gelesen
1000betreffen Sie
126geprüft und verworfen
Stand

Aktualisierung alle 6 Stunden
Als RSS abonnieren
10 von 1000 Einträgen
  1. Diese Woche Wordfence

    LTL Freight Quotes ODFL Edition

    CVE-2026-87780

    Betrifft Sie, wenn Sie die WordPress Erweiterung LTL Freight Quotes ODFL Edition in einer Fassung bis einschließlich 4.2.18 einsetzen.

    Ich stufe die Meldung als gespeichertes Cross Site Scripting ein. Ein Angreifer ohne Anmeldung kann beliebige Webskripte in Seiten einschleusen. Sie werden ausgeführt, sobald ein Benutzer eine manipulierte Seite aufruft.

    Die NVD beschreibt die Ausführung in der Sitzung eines Administrators, der eine solche Seite aufruft. Die Lücke steht nicht im KEV Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie auf 4.2.19. Die Quelle nennt keine Überbrückung.

    Betroffen
    LTL Freight Quotes – ODFL Edition
    Behoben in
    4.2.19
    CVSS
    8.8
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,25 %
    Perzentil 14,9
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  2. Diese Woche Wordfence

    Grocery Shopping Store

    CVE-2026-93949

    Betrifft Sie, wenn Sie Grocery Shopping Store bis einschließlich 1.3.3 einsetzen und ein Angreifer sich mit Subscriber-Rechten oder höher anmelden kann.

    Die Quelle beschreibt eine fehlende Berechtigungsprüfung in einer Funktion. Angemeldete Angreifer mit Subscriber-Rechten oder höher können dadurch eine nicht autorisierte Aktion durchführen.

    Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Die Quelle nennt keine behobene Fassung und keine Überbrückung.

    Betroffen
    Grocery Shopping Store
    CVSS
    7.1
    Quelle audit@patchstack.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 14,5
    Art
    CWE-288
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  3. Diese Woche Wordfence

    W3 Total Cache

    CVE-2026-107321

    Betrifft Sie, wenn Sie W3 Total Cache bis einschließlich 2.10.5 einsetzen und Angreifer einen angemeldeten Zugang ab der Author-Rolle haben.

    Ich stufe die Lücke als Path Traversal durch unzureichende Prüfung eines vom Benutzer gelieferten Pfads ein. Angemeldete Angreifer ab der Author-Rolle können laut Quelle auf Dateien und Verzeichnisse außerhalb des vorgesehenen Verzeichnisses zugreifen.

    Die Quelle beschreibt außerdem, dass eine serverlesbare Datei in ein öffentlich erreichbares Verzeichnis kopiert und anschließend ohne Anmeldung abgerufen werden kann, wenn ein Administrator den Import ausführt. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie W3 Total Cache auf 2.10.6.

    Betroffen
    W3 Total Cache
    Behoben in
    2.10.6
    CVSS
    5.4
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 14,5
    Art
    CWE-22
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  4. Diese Woche Wordfence

    Ocean Pro Demos, Ocean eComm Treasure Box

    CVE-2026-81929

    Betrifft Sie, wenn Sie eines der Plugins mit Premium-Lizenz und Popup Builder mit veröffentlichtem Gutenberg-Popup nutzen, das zur Anzeige eingerichtet ist.

    Die Quelle beschreibt gespeichertes Cross-Site-Scripting. Wegen fehlender Berechtigungsprüfung sowie unzureichender Bereinigung und Ausgabeabsicherung können ohne Anmeldung Webskripte in den Inhalt eines veröffentlichten Gutenberg-Popups eingebracht werden.

    Diese Skripte werden ausgeführt, wenn jemand eine Seite aufruft, auf der das Popup zur Anzeige eingerichtet ist. Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken.

    Aktualisieren Sie Ocean Pro Demos auf 1.5.5 oder Ocean eComm Treasure Box auf 1.8.1.

    Betroffen
    Ocean Pro Demos, Ocean eComm Treasure Box
    Behoben in
    1.5.5, 1.8.1
    CVSS
    7.2
    Quelle security@wordfence.com
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 14,3
    Art
    CWE-79
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  5. Diese Woche Wordfence

    Redux Framework

    CVE-2025-14123

    Betrifft Sie, wenn Sie Redux Framework bis 4.5.11 einsetzen und ein Plugin oder Theme mindestens 1 Redux-Benutzerprofilfeld hinzugefügt hat.

    Die Erweiterung prüft beim Speichern bestimmter Profilangaben die Berechtigung nicht ausreichend. Angemeldete Angreifer mit Subscriber-Rechten oder höher können dadurch eine beliebige Rolle setzen, etwa Administrator.

    Ich stufe die Lücke als relevante Rechteausweitung ein. Die Quelle nennt keine weiteren Auswirkungen und führt sie nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie auf 4.5.13; die Quelle nennt keine Überbrückung.

    Betroffen
    Redux Framework
    Behoben in
    4.5.13
    CVSS
    6.8
    Quelle security@wordfence.com
    Anmeldung nötig
    ja, Benutzerkonto
    Ausnutzung wahrscheinlich
    0,24 %
    Perzentil 13,7
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  6. Diese Woche Wordfence

    Tutor LMS

    CVE-2026-85571

    Betrifft Sie, wenn Sie Tutor LMS in 4.0.5 bis 4.1.0 einsetzen und ein angemeldeter Benutzer über Kursleiterrechte oder höhere Rechte verfügt.

    Ich stufe das als unsichere direkte Objektreferenz ein. Tutor LMS prüft nicht, ob die in einer Anfrage genannten Beiträge zu einem Kurs gehören, den der anfragende Benutzer verwaltet.

    Laut Quelle können Angreifer mit Kursleiterrechten oder höheren Rechten den übergeordneten Kurs beliebiger Beiträge ändern, fremde Kursinhalte in eigene Kurse übernehmen und beliebige veröffentlichte Inhalte unerreichbar machen.

    Aktualisieren Sie Tutor LMS auf 4.1.1.

    Betroffen
    Tutor LMS – eLearning and online course solution
    Behoben in
    4.1.1
    CVSS
    6.5
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 13,2
    Art
    CWE-639
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  7. Diese Woche Wordfence

    Booking Calendar

    CVE-2026-105195

    Betrifft Sie, wenn Sie Booking Calendar von 10.15 bis 11.8.2 einsetzen und ein angemeldetes Konto mit Editor-Rechten oder höher vorhanden ist.

    Ich stufe die Lücke als Offenlegung vertraulicher Informationen ein. Angemeldete Benutzer mit Editor-Rechten oder höher können laut Quelle sensible Benutzer- oder Konfigurationsdaten auslesen, darunter beliebige WordPress-Optionen und zentrale Einstellungen der Website.

    Die Quelle nennt keine weitergehende Wirkung. Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie Booking Calendar auf 11.8.3.

    Betroffen
    Booking Calendar
    Behoben in
    11.8.3
    CVSS
    2.7
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 12,9
    Art
    CWE-200
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  8. Diese Woche Wordfence

    SMS Alert

    CVE-2026-94257

    Betrifft Sie, wenn Sie das WordPress-Plugin SMS Alert in den Fassungen 3.9.6 bis 4.0.0 auf Ihrer WordPress-Seite einsetzen.

    Die Quelle beschreibt eine nicht authentifizierte Rechteausweitung. Nach der NVD-Beschreibung kann ein Angreifer beim Zurücksetzen eines Passworts ein beliebiges Konto auswählen, auch ein Administratorkonto, und dafür einen Einmalcode an eine von ihm kontrollierte Telefonnummer bestätigen. Wordfence beschreibt zusätzlich unzureichend eingeschränkte Berechtigungen, mit denen Angreifer ihre Rechte über die vorgesehene Rolle hinaus erweitern können.

    Ich stufe die Lücke als sofort relevant ein. Sie steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke.

    Aktualisieren Sie SMS Alert auf 4.0.1.

    Betroffen
    SMS Alert – SMS Notifications & OTP Login, COD Verification, Abandoned Cart Recovery
    Behoben in
    4.0.1
    CVSS
    8.1
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 12,5
    Art
    CWE-269
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  9. Diese Woche Wordfence

    SMS Alert

    CVE-2026-94256

    Betrifft Sie, wenn Sie das WordPress-Plugin SMS Alert bis einschließlich 4.0.0 einsetzen und das angegriffene Benutzerkonto eine gespeicherte Telefonnummer hat.

    Die Anmeldung prüft nicht, ob die per Einmalcode bestätigte Telefonnummer zum Konto gehört, an dem die Anmeldung erfolgt. Dadurch können nicht angemeldete Angreifer sich als beliebiger WordPress-Benutzer anmelden, Administratoren eingeschlossen.

    Für den Einmalcode kann der Angreifer die eigene Telefonnummer verwenden. Die Telefonnummer des angegriffenen Benutzers wird dafür nicht benötigt. Ich stufe die Lücke wegen dieser Wirkung als sofort zu bearbeiten ein.

    Aktualisieren Sie SMS Alert auf 4.0.1.

    Betroffen
    SMS Alert – SMS Notifications & OTP Login, COD Verification, Abandoned Cart Recovery
    Behoben in
    4.0.1
    CVSS
    8.1
    Quelle 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Anmeldung nötig
    nein
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 12,5
    Art
    CWE-287
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

  10. Diese Woche Wordfence

    Vitepos – Point of Sale (POS) for WooCommerce

    CVE-2026-105076

    Betrifft Sie, wenn Sie Vitepos bis einschließlich 3.6.1 einsetzen und ein Angreifer mit einer Anmeldung auf benutzerdefinierter Rollenebene oder höher zugreifen kann.

    Ich stufe die Lücke als SQL-Injection ein. Laut Quelle werden Benutzereingaben nicht ausreichend maskiert und bestehende SQL-Abfragen nicht ausreichend vorbereitet. Dadurch können angemeldete Angreifer zusätzliche SQL-Abfragen an bestehende Abfragen anhängen und vertrauliche Informationen aus der Datenbank auslesen.

    Die Lücke steht nicht im KEV-Katalog der CISA als aktiv ausgenutzte Lücke geführt.

    Aktualisieren Sie auf 3.6.2.

    Betroffen
    Vitepos – Point of Sale (POS) for WooCommerce
    Behoben in
    3.6.2
    CVSS
    7.6
    Quelle audit@patchstack.com
    Anmeldung nötig
    ja, Administrator
    Ausnutzung wahrscheinlich
    0,23 %
    Perzentil 12,5
    Art
    CWE-89
    Aktiv ausgenutzt
    nicht auf der KEV-Liste
    Veröffentlicht
    08.10.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

126 geprüft und verworfen, mit Begründung
  • 97 MeldungenSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 24 MeldungenDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 24 MeldungenGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 14 MeldungenVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 MeldungenEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 4 MeldungenWindows-Servertechnik wie Exchange oder Active Directory. Auf einem Linux-Server mit WordPress ist davon nichts installiert, die beiden Welten teilen keinen Code. Wer zusätzlich eine Windows-Umgebung betreibt, braucht dafür eine eigene Beobachtung.
  • 4 MeldungenIBM-Unternehmenssoftware wie DB2 oder WebSphere. Sie läuft in Rechenzentren mit eigener Betriebsmannschaft, auf einem Linux-Webserver mit WordPress kommt sie nicht vor. Wer sie im Haus hat, bezieht die Hinweise dazu über den Wartungsvertrag.
  • 4 MeldungenSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • CVE-2026-5358GNU libc, die konkret genannte NIS+-Schnittstelle wurde für Linux nie als nutzbarer Client oder Server veröffentlicht und überschreitet keine Vertrauensgrenze.
  • CVE-2026-1933Samba stellt Windows-Dateifreigaben bereit, die konkrete Schwachstelle erfordert einen authentifizierten Benutzer mit Schreibrechten und gehört nicht zum üblichen öffentlichen Webdienst.
  • CVE-2022-3061Linux-Kernel, die konkrete Schwachstelle betrifft den selten eingesetzten i740-Grafiktreiber und erfordert lokalen Zugriff auf dessen Geräteschnittstelle.
  • CVE-2022-50234Linux-Kernel, die konkrete io_uring-Schwachstelle verursacht nach den vorliegenden Angaben vor allem einen lokalen Denial of Service und ist nicht von außen ohne Konto auslösbar.
  • CVE-2022-50353Linux-Kernel, die konkrete Schwachstelle liegt im MMC-SD-Kartentreiber und kann nur über die betreffende Hardware einen lokalen Absturz auslösen.
  • CVE-2022-50375Linux-Kernel, die konkrete Schwachstelle betrifft den NXP-LPUART-DMA-Treiber und damit eine spezielle Embedded-Hardware, nicht den üblichen Webserver.
  • CVE-2025-39891Linux-Kernel, die konkrete Schwachstelle betrifft den mwifiex-WLAN-Treiber spezieller Funkhardware und ist für einen gewöhnlichen Serverbetrieb nicht maßgeblich.
  • CVE-2025-40029Linux-Kernel, die konkrete Schwachstelle betrifft den fsl-mc-Treiber für spezielle Plattformhardware und nicht die übliche Serverausstattung.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2022-50583Linux-Kernel, die konkrete Schwachstelle betrifft die RAID0- und RAID10-Blockgerätebehandlung und führt zu einem lokalen Denial of Service, nicht zu einem entfernten Angriff.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-80914Linux-Kernel, die konkrete Schwachstelle betrifft Bluetooth-ISO-Sockets und damit eine spezielle Funkfunktion, die für gewöhnliche Serverdienste nicht vorausgesetzt wird.
  • CVE-2023-52629Linux-Kernel, Use-after-free im Treiber für den Push-Switch, die Meldung betrifft eine spezielle Hardwarefunktion und keinen üblichen Serverdienst.
  • CVE-2023-52657Linux-Kernel, Denial of Service im AMD-Grafiktreiber für ältere SI-Hardware, die Meldung betrifft spezielle Arbeitsplatz- oder Grafikhardware und keinen üblichen Serverbetrieb.
  • CVE-2024-46714Linux-Kernel, Denial of Service durch einen Fehler im AMD-Displaytreiber, die Meldung betrifft spezielle Grafikhardware und keinen üblichen Serverbetrieb.
  • CVE-2016-10044Linux-Kernel, lokale Rechteausweitung über aio_mount, der Angriff erfordert bereits einen lokalen Benutzer und die historische Lücke ist für den üblichen Serverbetrieb nicht von besonderer Tragweite.
  • CVE-2024-53145Linux-Kernel, Ganzzahlüberlauf bei der Speicherinitialisierung von User Mode Linux auf 32-Bit-Systemen, die Meldung betrifft eine spezielle Architektur und keinen üblichen Serverbetrieb.
  • CVE-2022-50631Linux-Kernel, Speicherleck beim RISC-V-Kexec, die Meldung betrifft die spezielle RISC-V-Architektur und keinen üblichen Serverbetrieb.
  • CVE-2026-28386OpenSSL, der Fehler betrifft ausschließlich x86-64-Systeme mit AVX-512 und VAES bei AES-CFB, einem in TLS nicht verwendeten Modus, und kann dort nur einen anwendungsbezogenen Denial of Service auslösen.
  • CVE-2026-31686Linux-Kernel-Fehler in KASAN, der konkrete Auslöser betrifft eine seltene PowerPC-Konfiguration mit 64-KB-Seiten und setzt lokale Nutzung von PMEM voraus.
  • CVE-2026-45834Linux-Kernel-Bluetooth, lokaler Angreifer und Denial of Service durch einen Nullzeigerfehler, ohne Fernzugriff oder Datenabfluss.
  • CVE-2026-104715cifs-utils dient dem Einbinden von Windows-Dateifreigaben, die Schwachstelle erfordert einen lokalen Benutzer und einen privilegierten CIFS-Einbindevorgang.
  • CVE-2026-14586Unbound ist ein eigener DNS-Auflöser und die konkrete DoS-Schwachstelle setzt aktiviertes DNS-over-QUIC mit konfiguriertem QUIC-Port und hoher Auslastung voraus.
  • CVE-2026-80725Linux-Kernel, lokaler Denial of Service über speziell präparierte AF-PACKET-Netzwerkrahmen, ohne Hinweis auf Datenabfluss oder Fernangriff.
  • CVE-2026-89793Linux-Kernel, die konkrete Schwachstelle betrifft den lokalen ublk-Daemon und setzt dessen Einsatz sowie bereits lokale Prozessausführung voraus.