intelligent piXel

Threat Log

1,139advisories in the last run
1000affect you
226of those checked and dismissed
As of

Updated every 6 hours
Subscribe via RSS
10 of 1000 entries
  1. Act now Wordfence

    MC4WP: Mailchimp for WordPress

    Missing authorization

    CVE-2026-27356

    Affects you if you run the MC4WP: Mailchimp for WordPress plugin through version 4.14.1; the source names no other conditions.

    A missing capability check allows unauthenticated attackers to perform an unauthorized action. The source does not say what that action is.

    Patchstack rates the vulnerability 5.3, which is medium. It is not listed in the KEV catalog of actively exploited vulnerabilities.

    Update MC4WP: Mailchimp for WordPress to 4.15.0.

    Affected
    MC4WP: Mailchimp for WordPress
    Fixed in
    4.15.0
    CVSS
    5.3
    source Patchstack
    Login required
    no
    Likely to be exploited
    0.25 %
    percentile 16.1
    Type
    CWE-862
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  2. Act now Wordfence

    TranslatePress

    Stored cross-site scripting

    CVE-2026-120537

    Affects you if you use the TranslatePress WordPress plugin through version 3.3.8; the source names no other conditions for this vulnerability.

    I rate this vulnerability high. Wordfence scores it at 7.2, which is high. It is stored cross-site scripting caused by insufficient input sanitization and output escaping.

    The source says unauthenticated attackers can inject arbitrary web scripts into pages. Those scripts execute whenever someone accesses an injected page. The vulnerability is not listed in the KEV catalog of actively exploited vulnerabilities.

    Update to 3.3.9.

    Affected
    TranslatePress
    Fixed in
    3.3.9
    CVSS
    7.2
    source Wordfence
    Login required
    no
    Likely to be exploited
    0.25 %
    percentile 16.0
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  3. Act now Wordfence

    Unlimited Elements for Elementor

    Stored cross-site scripting

    CVE-2026-116558

    Affects you if you run Unlimited Elements for Elementor through 2.0.26 and its RSS feed widget points to a feed controlled by an attacker.

    The plugin does not sufficiently sanitize and escape content from the RSS feed, allowing stored cross-site scripting. Unauthenticated attackers can inject arbitrary web scripts into pages, where they execute whenever a user accesses an injected page.

    Wordfence rates the vulnerability at 7.2, which is high. The source says no login is required. I therefore classify it as act now.

    Update to 2.0.28.

    Affected
    Unlimited Elements for Elementor
    Fixed in
    2.0.28
    CVSS
    7.2
    source Wordfence
    Login required
    no
    Likely to be exploited
    0.24 %
    percentile 15.4
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  4. Act now Wordfence

    Form Maker by 10Web

    Stored cross-site scripting

    CVE-2026-120512

    Affects you if you use Form Maker by 10Web through and including 1.15.50.

    I rate this vulnerability as high. Wordfence scores it 7.2, which is high. The source describes stored cross-site scripting caused by insufficient input sanitization and output escaping. The source says no login is required.

    Manipulated input can inject scripts into pages, and those scripts execute when a user opens an affected page. The source names an administrator opening a poisoned submission in the administration area as the relevant condition. It is not listed in the KEV catalog of actively exploited vulnerabilities.

    Update to 1.15.51.

    Affected
    Form Maker by 10Web
    Fixed in
    1.15.51
    CVSS
    7.2
    source Wordfence
    Login required
    no
    Likely to be exploited
    0.24 %
    percentile 15.4
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  5. Act now Wordfence

    Ecommerce Affiliate

    Account takeover

    CVE-2026-106015

    Affects you if you run the Ecommerce Affiliate WordPress plugin through version 1.0.0. The source describes account takeover without authentication.

    The plugin does not check whether the person requesting or verifying a one-time password is the legitimate account owner. It also does not limit verification attempts. As a result, unauthenticated attackers can take over accounts, including accounts with administrator privileges.

    CISA rates the vulnerability at 8.1, which is high. Another assessment lists it as critical. It is not listed in the KEV catalog of actively exploited vulnerabilities.

    The source does not name a fixed version or a workaround.

    Affected
    Ecommerce Affiliate
    CVSS
    8.1
    source CISA
    Login required
    no
    Likely to be exploited
    0.23 %
    percentile 13.5
    Type
    CWE-287
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  6. Act now Wordfence

    Appointment Booking Plugin – LatePoint

    Stored cross-site scripting

    CVE-2026-119152

    Affects you if you use Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress through 5.7.6 and visitors can register as LatePoint customers through the public booking form.

    Wordfence scores this vulnerability 5.4, or medium. It allows unauthenticated visitors to carry out stored cross-site scripting through a LatePoint customer's email field. The submitted content is stored and runs as web script when someone accesses an injected page.

    According to the source, exploitation requires a visitor to register as a LatePoint customer through the public booking form and submit a suitably crafted email address. The vulnerability is not listed in CISA's KEV catalog of actively exploited vulnerabilities.

    Update to 5.7.7.

    Affected
    Appointment Booking Plugin – LatePoint
    Fixed in
    5.7.7
    CVSS
    5.4
    source Wordfence
    Login required
    no
    Likely to be exploited
    0.23 %
    percentile 13.5
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  7. Act now Wordfence

    Fluent Forms

    Missing authorization

    CVE-2026-120858

    Affects you if you use the WordPress Fluent Forms plugin in version 6.2.16 or earlier to build forms on your WordPress site.

    A missing capability check lets unauthenticated attackers perform an unauthorized action. The source gives no further details about the impact.

    Patchstack rates the vulnerability 6.5, which is medium. Wordfence says no login is required. I rate it as act now.

    Update to 6.2.17.

    Affected
    Fluent Forms
    Fixed in
    6.2.17
    CVSS
    6.5
    source Patchstack
    Login required
    no
    Likely to be exploited
    0.21 %
    percentile 10.9
    Type
    CWE-862
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  8. Act now Wordfence

    Razorpay for WooCommerce

    Information exposure

    CVE-2026-104337

    Affects you if you use Razorpay for WooCommerce through 4.8.8 and the plugin processes order data.

    The NVD describes a missing ownership check for an order. That allows unauthenticated attackers to disclose the monetary value of arbitrary customer orders by going through order IDs. Wordfence also reports exposure of sensitive user or configuration data.

    CISA rates it 5.3, which is medium. I classify it as act now despite the medium severity because no login is required.

    Update to 4.8.9.

    Affected
    Razorpay for WooCommerce
    Fixed in
    4.8.9
    CVSS
    5.3
    source CISA
    Login required
    no
    Likely to be exploited
    0.21 %
    percentile 10.8
    Type
    CWE-200
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  9. Act now Wordfence

    WooCommerce Stripe Payment Gateway

    CVE-2026-123145

    Affects you if you use the plugin in versions 10.9.0 through 11.0.1; stored passwords may be readable from order data or the database.

    During express checkout, the plugin stores the account password in order metadata. The source identifies 10.9.0 as a version that stored passwords and 10.9.1 as a version that stopped storing new ones. Passwords already stored remained in place and should be considered exposed, according to the source.

    Wordfence says attackers can gain access to the passwords if they extract the metadata from the database. CISA rates the vulnerability 4.4, which is medium. It is not listed in the KEV catalog of actively exploited vulnerabilities.

    Update to 11.1.0; that version removes the passwords already stored during the update, and the source names no workaround.

    Affected
    WooCommerce Stripe Payment Gateway
    Fixed in
    11.1.0
    CVSS
    4.4
    source CISA
    Login required
    yes, administrator
    Likely to be exploited
    0.20 %
    percentile 9.8
    Type
    CWE-200
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  10. Act now Wordfence

    All-in-One Video Gallery

    Information exposure

    CVE-2026-120409

    Affects you if you use All-in-One Video Gallery through 5.1.0. The source names no further condition for being affected.

    The plugin does not check whether a video is password-protected before exposing its media source. Unauthenticated visitors can therefore obtain the sources of protected videos, including unlisted YouTube or Vimeo links and external file URLs.

    I rate this vulnerability as medium. CISA scores it 5.3, which is medium. The source also says that unauthenticated attackers can extract sensitive user or configuration data.

    Update to 5.1.1.

    Affected
    All-in-One Video Gallery
    Fixed in
    5.1.1
    CVSS
    5.3
    source CISA
    Login required
    no
    Likely to be exploited
    0.20 %
    percentile 9.6
    Type
    CWE-200
    Actively exploited
    not on the KEV list
    Published
    2026-11-06

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

226 checked and dismissed, with reasons
  • 125 advisoriesSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 27 advisoriesDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 9 advisoriesEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 advisoriesSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 7 advisoriesGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 6 advisoriesEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 4 advisoriesJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • 3 advisoriesPostgreSQL, eine eigene Datenbankwelt mit eigenen Werkzeugen und Erweiterungen. WordPress speichert in MySQL oder MariaDB und kann mit PostgreSQL von Haus aus nicht arbeiten. Auf dem Server liegt PostgreSQL nur, wenn eine andere Anwendung es mitgebracht hat, und deren Betreiber kennt es.
  • CVE-2018-1000204Linux-Kernel für NVIDIA-Tegra- und spezielle Cloud-Hardware, die Schwachstelle betrifft keine allgemeine Serverinstallation, sondern eine besondere Plattformvariante.
  • CVE-2022-49623Linux-Kernel auf PowerPC mit XIVE, die Schwachstelle betrifft eine spezielle Serverhardware und ist nicht auf gewöhnlichen x86- oder ARM-Servern wirksam.
  • CVE-2022-49834Linux-Kernel, nilfs2-Dateisystem. Die Use-after-free-Lücke setzt eine lokale Remount-Situation mit bereits beschädigten Metadaten voraus und ist nicht von außen ohne Anmeldung auslösbar.
  • CVE-2025-37840Linux-Kernel, brcmnand-Treiber für Broadcom-STB-Hardware. Die Meldung betrifft eine spezielle Plattform und beschreibt eine Warnung beim Aufwachen aus dem Energiesparzustand, keine allgemeine Serverschwachstelle.
  • CVE-2025-38238Linux-Kernel, fnic-Treiber für Fibre-Channel-Hardware. Die Schwachstelle erfordert diese spezielle Speicherhardware und führt bei ausbleibenden FDMI-Antworten zu einem Treiberabsturz.
  • CVE-2020-26145Linux-Kernel auf Samsung-Galaxy-S3-Smartphones, die Meldung betrifft mobile WLAN-Hardware und keinen üblichen Serverbetrieb.
  • CVE-2025-38353Linux-Kernel, drm/xe-Grafiktreiber für Intel-GPUs. Die Meldung betrifft eine spezielle Grafikhardware und einen internen Wiederherstellungsfehler, nicht den allgemeinen Serverbetrieb.
  • CVE-2025-38731Linux-Kernel, betroffen ist der xe-Grafiktreiber für bestimmte Intel-Grafikgeräte; der Fehler führt bei lokaler Nutzung zu einem Denial of Service und betrifft keine typische Serverfunktion.
  • CVE-2025-39837Linux-Kernel, asus-wmi-Treiber für ASUS-Systeme. Die Schwachstelle betrifft konkurrierende Registrierungen spezieller ACPI- und Plattformtreiber und ist für allgemeine Webserver nicht relevant.
  • CVE-2022-50470Linux-Kernel, der Fehler betrifft nur die USB-Unterstützung auf Intel-Panther-Point-Systemen mit aktivierter Software-Bandbreitenprüfung und verursacht dort einen lokalen Absturz.
  • CVE-2025-39954Linux-Kernel-Treiber für Sunxi-Uhren, die Schwachstelle betrifft spezielle eingebettete Hardware und keinen gewöhnlichen Webserver.
  • CVE-2022-50712Linux-Kernel, die konkrete Meldung betrifft eine Sperrverletzung in netdevsim beim Zerstören von Snapshots und beschreibt höchstens eine lokale Denial-of-Service-Bedingung, keine unauthentifizierte Fernattacke.
  • CVE-2025-71102Linux-Kernel, die Auswirkung tritt nur bei aktivierter Debug-Option CONFIG_DEBUG_STACK_USAGE auf und betrifft keine üblichen Produktionskernel.
  • CVE-2025-71145Linux-Kernel-Treiber für die spezielle USB-Phy-Hardware ISP1301, die Schwachstelle setzt diese eingebettete Geräteplattform voraus.
  • CVE-2025-71180Linux-Kernel, die beschriebene IRQ-Sperrfehlerbehebung ist keine aus der Ferne ohne Anmeldung ausnutzbare Schwachstelle, sondern eine interne Kernel-Problematik.
  • CVE-2025-71225Linux-Kernel-RAID, die Schwachstelle setzt lokale Änderungen der RAID-Konfiguration über sysfs und damit bereits privilegierten Zugriff voraus.
  • CVE-2026-43476Linux-Kernel-Treiber für den SPS30-Feinstaubsensor, die Schwachstelle betrifft spezielle Sensorhardware und keinen gewöhnlichen Webserver.
  • CVE-2025-15467Der Meldungstext beschreibt eine Schwachstelle in OpenSSL beim Verarbeiten von CMS-Nachrichten, nicht in Oracle MySQL, sodass der Vorgang dem genannten Produkt nicht verlässlich zugeordnet werden kann.
  • CVE-2026-99285Linux-Kernel, der beschriebene Fehler betrifft die nftables-Byteordnungsumwandlung, eine von außen ohne Anmeldung auslösbare Schwachstelle ist aus den Angaben nicht ersichtlich.
  • CVE-2026-114690Red Hat Enterprise Linux mit mehreren distributionsspezifischen Paketen gehört nicht zur Debian- und Ubuntu-Produktwelt dieses Lagebilds.
  • CVE-2026-116405VikRentCar, die ältere Meldung zum gespeicherten Cross-Site-Scripting bis Version 1.4.9 wird durch die nachfolgende Meldung für denselben Fehler bis Version 1.4.10 überdeckt.
  • CVE-2026-57666WP Customer Area, CVE-2026-57666 beschreibt dieselbe gespeicherte Cross-Site-Scripting-Lücke bis Version 8.4.1 wie CVE-2026-54861 und ist daher eine Doppelung.
  • CVE-2026-123860JetFormBuilder, unauthentifizierte Ausführung beliebiger Shortcodes in Versionen bis 3.6.8, ist bereits durch den gleichlautenden Vorgang CVE-2026-123483 abgedeckt.
  • CVE-2026-119370The Events Calendar, identische Meldung zur gespeicherten XSS bis Version 6.18.2, daher eine Doppelung von CVE-2026-119369.
  • CVE-2026-120365WP Customer Area, identische Schwachstelle und betroffene Version wie bei CVE-2026-119524, daher handelt es sich um eine Doppelung.