Lagebild

Zu dieser Suche steht im gesamten Lagebild nichts. Versuchen Sie einen kürzeren Begriff, etwa nur den Produktnamen oder die CVE-Nummer.

1. Zur Kenntnis Wordfence

   Kali Forms

   CVE-2026-16144

   Betrifft Sie, wenn Sie das Plugin Kali Forms in einer Version bis einschließlich 2.4.20 einsetzen und mindestens ein Formular ein Feld mit dem Namen thisPermalink, entryCounter oder submission_link enthält. Ob das der Fall ist, sehen Sie im Formular-Editor.

   Ein Angreifer kann ohne Anmeldung eigenen Code auf Ihrem Server ausführen. Dazu genügt es, ein Formular abzuschicken, das eines der reservierten Felder enthält. Der Plugin-eigene Mechanismus, der das verhindern soll, prüft nur, ob sich die Platzhalter geändert haben, nicht ob sie von außen kommen. Damit wird ein vertrauenswürdiger Aufruf mit Angreiferdaten gefüttert.

   Die Lücke ist nicht auf der KEV-Liste und die EPSS-Wahrscheinlichkeit liegt bei 0,7 Prozent. Das spricht gegen eine breite Ausnutzung. Trotzdem sofort: Wer ein Formular mit den genannten Feldern betreibt, hat eine offene Tür im System.

   Aktualisieren Sie auf Version 2.4.21. Die Quelle nennt keine Überbrückung, die ohne das Update auskommt.

   Betroffen

   Kali Forms — Contact Form & Drag-and-Drop Builder

   Behoben in

   2.4.21

   CVSS

   8.1
   Quelle security@wordfence.com

   Anmeldung nötig

   nein

   Ausnutzung wahrscheinlich

   0,69 %
   Perzentil 49,4

   Art

   CWE-94

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

2. Zur Kenntnis Wordfence

   Single Sign On For TNG

   CVE-2026-15964

   Betrifft Sie, wenn Sie das WordPress-Plugin Single Sign On For TNG in einer Version bis einschließlich 2.0.0 einsetzen.

   Ein Plugin, das die Anmeldung übergehen lässt. Ein Fremder kann ohne Zugangsdaten das Passwort eines beliebigen Benutzers zurücksetzen und sich dann als dieser Benutzer anmelden, Administrator eingeschlossen. Die Funktion dafür ist ohne Anmeldung erreichbar und prüft nicht, ob die Anfrage vom rechtmäßigen Kontoinhaber stammt.

   Aktualisieren Sie auf die nächste verfügbare Version, die diese Lücke schließt. Gibt es noch keine, deaktivieren Sie das Plugin, bis das Update erscheint.

   Betroffen

   Single Sign On For TNG

   Behoben in

   2.1.0

   CVSS

   9.8
   Quelle security@wordfence.com

   Anmeldung nötig

   nein

   Ausnutzung wahrscheinlich

   0,49 %
   Perzentil 39,6

   Art

   CWE-620

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

3. Zur Kenntnis Wordfence

   Subscriptions for WooCommerce

   CVE-2026-15414

   Betrifft Sie, wenn Sie Subscriptions for WooCommerce bis einschließlich Version 2.0.0 einsetzen und Benutzer mit der Rolle Contributor oder höher Zugriff auf das Backend haben.

   Ein Contributor kann sich selbst zum Administrator machen. Das Plugin speichert beim Bearbeiten eines Mitgliedschaftsplans eine Benutzerrolle aus dem Formular, ohne zu prüfen, ob der Absender diese Rolle vergeben darf. Die einzige Einschränkung im Formular ist ein ausgegrautes Feld, das sich mit den Entwicklerwerkzeugen des Browsers überschreiben lässt. Der Server nimmt den Wert entgegen und schreibt ihn in die Datenbank.

   Aktualisieren Sie auf eine Version, die diese Lücke schließt. Ist kein Update verfügbar, prüfen Sie die Benutzerliste auf Administratoren, die Sie nicht angelegt haben.

   Betroffen

   Subscriptions for WooCommerce

   Behoben in

   2.0.1

   CVSS

   8.8
   Quelle security@wordfence.com

   Anmeldung nötig

   ja, Benutzerkonto

   Ausnutzung wahrscheinlich

   0,34 %
   Perzentil 26,2

   Art

   CWE-269

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

4. Zur Kenntnis Wordfence

   PixelYourSite

   CVE-2026-18059

   Betrifft Sie, wenn Sie PixelYourSite in einer Version bis 11.2.1 in einem WooCommerce-Shop einsetzen und die Bestellbestätigungsseite für angemeldete wie nicht angemeldete Besucher erreichbar ist.

   Das Plugin schreibt auf der Bestellbestätigungsseite sensible Bestelldaten in den Quelltext, sobald es eine Bestellnummer in der Adresszeile erkennt. Die Prüfung, ob der Besucher zu dieser Bestellung gehört, fehlt. Ein Angreifer kann Bestellnummern durchprobieren und erhält Produktnamen, Stückzahlen, Einzelpreise, Gesamtsummen und Transaktions-IDs.

   Die Lücke setzt kein Konto voraus. Sie ist allein mit einer erratbaren oder aufgezählten Bestellnummer aus der Ferne ausnutzbar.

   Aktualisieren Sie auf 11.2.2 oder 12.6.1. Die Quelle nennt keine Überbrückung, die das Abschalten der Bestellbestätigungsseite ersetzt.

   Betroffen

   PixelYourSite Pro – Your smart PIXEL (TAG) Manager, PixelYourSite – Your smart PIXEL (TAG) & API Manager

   Behoben in

   11.2.2, 12.6.1

   CVSS

   5.3
   Quelle security@wordfence.com

   Anmeldung nötig

   nein

   Ausnutzung wahrscheinlich

   0,33 %
   Perzentil 25,8

   Art

   CWE-200

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

5. Zur Kenntnis Wordfence

   Pronamic Pay

   CVE-2026-16635

   Betrifft Sie, wenn Sie Pronamic Pay bis einschließlich Version 10.1.0 einsetzen und Gravity Forms mit einem Feld zur Benutzerrollen-Aktualisierung verwenden. Ein Angreifer braucht ein Konto, und sei es nur ein Abonnentenkonto.

   Ein Angreifer mit einem einfachen Konto kann sich selbst zum Administrator machen. Die Funktion, die die Rolle setzt, prüft nicht, welche Rollen erlaubt sind. Sie nimmt den Wert aus dem Formular und schreibt ihn direkt in den Benutzerdatensatz. Dafür muss ein Administrator die Verknüpfung zu Gravity Forms vorher eingerichtet haben, sonst läuft die Lücke ins Leere.

   Die Lücke ist nicht auf der KEV-Liste und die Ausnutzungswahrscheinlichkeit liegt bei 0,3 Prozent. Trotzdem steht sie hier, weil sie auf meinen Systemen zutrifft und ein Angreifer mit einem einzigen Formular Administratorrechte erlangt.

   Aktualisieren Sie auf Version 10.2.0. Die Quelle nennt keine Überbrückung, es hilft nur das Update.

   Betroffen

   Pronamic Pay

   Behoben in

   10.2.0

   CVSS

   8.8
   Quelle security@wordfence.com

   Anmeldung nötig

   ja, Benutzerkonto

   Ausnutzung wahrscheinlich

   0,31 %
   Perzentil 23,3

   Art

   CWE-269

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

6. Zur Kenntnis Wordfence

   W3 Total Cache

   CVE-2026-66695

   Betrifft Sie, wenn Sie W3 Total Cache in einer Version bis einschließlich 2.10.2 einsetzen. Die Lücke ist ohne Anmeldung auslösbar.

   Ein Pfaddurchlauf, der ohne Anmeldung funktioniert. Ein Angreifer kann auf Dateien außerhalb des vorgesehenen Verzeichnisses zugreifen, darunter Konfigurationsdateien mit Zugangsdaten oder andere sensible Inhalte. W3 Total Cache ist weit verbreitet, deshalb ist die Angriffsfläche groß.

   Aktualisieren Sie auf Version 2.10.3. Die Quelle nennt keine Überbrückung.

   Betroffen

   W3 Total Cache

   Behoben in

   2.10.3

   CVSS

   6.5
   Quelle audit@patchstack.com

   Anmeldung nötig

   nein

   Ausnutzung wahrscheinlich

   0,27 %
   Perzentil 19,3

   Art

   CWE-35

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

7. Zur Kenntnis Wordfence

   Icegram Engage

   CVE-2026-16087

   Betrifft Sie, wenn Sie Icegram Engage in einer Version bis einschließlich 3.1.42 einsetzen und registrierte Benutzer mit mindestens Contributor-Rolle haben.

   Eine SQL-Injection, die in zwei Schritten abläuft. Ein Angreifer mit Contributor-Konto oder höher hinterlegt einen präparierten Wert, der zunächst harmlos gespeichert wird. Bei einer späteren Datenbankabfrage wird dieser Wert ungeprüft in eine SQL-Anweisung eingebaut und ausgeführt. So kann der Angreifer die Datenbank auslesen.

   Die Lücke setzt ein Konto voraus, aber Contributor ist die niedrigste schreibende Rolle in WordPress. Viele Installationen vergeben sie an Gäste oder Kunden. Das macht die Schwachstelle für diese Systeme relevant.

   Aktualisieren Sie auf die Version, die Wordfence als bereinigt nennt. Die Quelle gibt keine konkrete Versionsnummer an.

   Betroffen

   Icegram Engage – Popups, Optins, CTAs & Lead Generation

   Behoben in

   3.1.43

   CVSS

   6.5
   Quelle security@wordfence.com

   Anmeldung nötig

   ja, Benutzerkonto

   Ausnutzung wahrscheinlich

   0,27 %
   Perzentil 18,9

   Art

   CWE-89

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

8. Zur Kenntnis Wordfence

   GSheetConnector

   CVE-2026-16614

   Betrifft Sie, wenn Sie das Plugin GSheetConnector in Version 5.2.1 oder älter einsetzen und ein Angreifer über ein Administratorkonto verfügt.

   Eine SQL-Injection in der Administrationsoberfläche. Ein Angreifer mit Administratorrechten kann über den Parameter 's' eigene Datenbankbefehle an bestehende Abfragen anhängen und so vertrauliche Informationen aus der Datenbank auslesen. Der Schaden ist auf das begrenzt, was ein Administrator ohnehin sehen oder exportieren könnte.

   Die Lücke entsteht, weil wp_unslash() den Magic-Quote-Schutz entfernt und sanitize_text_field() keine SQL-Sonderzeichen maskiert. Dadurch bleiben einfache Anführungszeichen und andere Metazeichen im Parameter erhalten und werden Teil der Abfrage.

   Aktualisieren Sie auf Version 5.2.2.

   Betroffen

   GSheetConnector – CF7 Google Sheets Connector & Save CF7 Entries to Database

   Behoben in

   5.2.2

   CVSS

   4.9
   Quelle security@wordfence.com

   Anmeldung nötig

   ja, Administrator

   Ausnutzung wahrscheinlich

   0,27 %
   Perzentil 18,7

   Art

   CWE-89

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

9. Zur Kenntnis Wordfence

   Download Manager

   CVE-2026-16685

   Betrifft Sie, wenn Sie das Plugin Download Manager in einer Version bis einschließlich 3.3.66 einsetzen und mindestens einen Benutzer mit der Rolle Contributor oder höher haben.

   Ein Angreifer mit einem Contributor-Konto kann in einem Shortcode-Attribut ein Skript hinterlegen. Das Plugin reinigt den Beitragsinhalt beim Speichern, aber nicht die Werte der Shortcode-Attribute. Beim Aufruf der Seite wird das Skript im Browser anderer Besucher ausgeführt, auch bei Administratoren. Der Angreifer braucht dafür ein Konto, aber kein hochprivilegiertes.

   Aktualisieren Sie auf Version 3.3.67. Eine andere Abhilfe nennt die Quelle nicht.

   Betroffen

   Download Manager

   Behoben in

   3.3.67

   CVSS

   6.4
   Quelle security@wordfence.com

   Anmeldung nötig

   ja, Benutzerkonto

   Ausnutzung wahrscheinlich

   0,24 %
   Perzentil 15,3

   Art

   CWE-79

   Aktiv ausgenutzt

   nicht auf der KEV-Liste

   Veröffentlicht

   31.07.2026

   Quellen: NVD · EPSS · Wordfence
   Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.

10. Zur Kenntnis Wordfence

    Advanced Woo Labels

    CVE-2026-15662

    Betrifft Sie, wenn Sie Advanced Woo Labels bis einschließlich Version 2.48 einsetzen und Benutzer mit der Rolle Contributor oder höher haben.

    Ein Angreifer mit einem Contributor-Konto kann über den Parameter bg_color Schadcode in der Datenbank ablegen. Der Code läuft im Browser jedes Besuchers, der die betroffene Seite aufruft. Für sich genommen ist das ärgerlich, aber nicht kritisch, weil der Angreifer bereits ein Konto braucht.

    Die Lücke steht nicht im KEV-Katalog der aktiv ausgenutzten Lücken. Das deckt sich mit der niedrigen EPSS von 0,2 Prozent. Ich stufe sie als Kenntnisnahme ein, weil ein Contributor-Konto die Hürde ist und kein aktiver Massenangriff bekannt ist.

    Aktualisieren Sie auf Version 2.49.

    Betroffen

    Advanced Woo Labels – Product Labels & Badges for WooCommerce

    Behoben in

    2.49

    CVSS

    6.4
    Quelle security@wordfence.com

    Anmeldung nötig

    ja, Benutzerkonto

    Ausnutzung wahrscheinlich

    0,24 %
    Perzentil 14,5

    Art

    CWE-79

    Aktiv ausgenutzt

    nicht auf der KEV-Liste

    Veröffentlicht

    31.07.2026

    Quellen: NVD · EPSS · Wordfence
    Enthält Angaben aus dem CVE-Programm, © MITRE Corporation.