intelligent piXel

Threat Log

838advisories read
600affect you
238checked and dismissed
As of

Updated every 6 hours
Subscribe via RSS
10 of 600 entries
  1. Act now Wordfence

    ELEX WooCommerce Request a Quote

    CVE-2026-14962

    Affects you if you run ELEX WooCommerce Request a Quote through 2.4.0. Unauthenticated users can perform SQL injection and extract database data.

    The WordPress plugin does not sufficiently sanitize and escape a user supplied parameter before using it in an SQL query. Unauthenticated attackers can therefore perform SQL injection and extract arbitrary data from the database.

    I rate this vulnerability as serious. The source names no additional prerequisites. It is not listed in CISA's KEV catalog as an actively exploited vulnerability.

    Update ELEX WooCommerce Request a Quote to 2.4.1.

    Affected
    ELEX WooCommerce Request a Quote
    Fixed in
    2.4.1
    CVSS
    8.6
    source 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Login required
    no
    Likely to be exploited
    0.32 %
    percentile 25.6
    Type
    CWE-89
    Actively exploited
    not on the KEV list
    Published
    2026-09-07

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  2. Act now Wordfence

    JetFormBuilder — Dynamic Blocks Form Builder

    CVE-2026-19858

    Affects you if you run JetFormBuilder before 3.6.5.2.

    The plugin does not properly check authorization when processing request-derived data during page rendering. Unauthenticated users can read user, post, and term properties and metadata, including password hashes, private and draft content, and stored secrets.

    I rate this as serious because no login is required and sensitive user and configuration data may be exposed. It is not listed in CISA's KEV catalog of actively exploited vulnerabilities.

    Update to 3.6.5.2.

    Affected
    JetFormBuilder — Dynamic Blocks Form Builder
    Fixed in
    3.6.5.2
    CVSS
    7.5
    source 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Login required
    no
    Likely to be exploited
    0.32 %
    percentile 24.7
    Type
    CWE-200
    Actively exploited
    not on the KEV list
    Published
    2026-09-07

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  3. Act now Wordfence

    SupportCandy

    CVE-2026-81021

    Affects you if you run SupportCandy in versions 3.2.9 through 3.5.2. Unauthenticated attackers can read ticket attachments.

    SupportCandy does not check authorization on one ticket attachment download path. That allows unauthenticated attackers to read arbitrary ticket attachments.

    I rate this as relevant because the access requires no login. The source does not name any further impact.

    Update to 3.5.3; the source does not name a workaround.

    Affected
    SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent
    Fixed in
    3.5.3
    CVSS
    5.3
    source 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Login required
    no
    Likely to be exploited
    0.21 %
    percentile 11.0
    Type
    CWE-200
    Actively exploited
    not on the KEV list
    Published
    2026-09-07

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  4. Act now Wordfence

    CatalogX – Catalog Mode, Enquiry & Quotes for WooCommerce

    CVE-2026-81792

    Affects you if you use the WordPress plugin CatalogX – Catalog Mode, Enquiry & Quotes for WooCommerce in versions up to and including 6.1.4.

    The source describes insufficient restrictions on the capabilities a user can grant themselves. Unauthenticated attackers can therefore elevate their privileges beyond what their role is intended to allow.

    I classify this as requiring immediate review because no login is needed and the issue permits privilege escalation. It is not listed in CISA's KEV catalog of actively exploited vulnerabilities.

    The source does not name a fixed version or a workaround.

    Affected
    CatalogX – Catalog Mode, Enquiry & Quotes for WooCommerce
    CVSS
    6.5
    source audit@patchstack.com
    Login required
    no
    Likely to be exploited
    0.20 %
    percentile 9.6
    Type
    CWE-266
    Actively exploited
    not on the KEV list
    Published
    2026-09-07

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  5. Act now BSI CERT-Bund · Ubuntu Security Exploited in the wild

    Linux kernel

    CVE-2022-50401 and 3088 more

    Affects you if you use the Linux kernel with NFSv4.1 and the described vulnerability applies to that use.

    The source describes an nfsd error under NFSv4.1. During an RPC connection creation failure, the same transport reference can be released twice. The accompanying log shows a reference count underflow and use after free.

    I classify this as immediate. The CVE is listed in the KEV catalog of actively exploited vulnerabilities.

    The source does not name a fixed version or a workaround.

    Affected
    Linux Kernel, Linux kernel
    CVSS
    9.8
    source 416baaa9-dc9f-4396-8d5f-8c081fb06d67
    Login required
    no
    Likely to be exploited
    0.43 %
    percentile 36.3
    Type
    CWE-415, CWE-415
    Actively exploited
    KEV since 2026-08-27
    Published
    2026-09-04

    Sources: NVD · EPSS · CISA KEV · Ubuntu USN · BSI CERT-Bund

  6. Act now Wordfence

    Ninja Forms

    CVE-2026-80437

    Affects you if you use the Ninja Forms WordPress plugin in versions 3.14.10 through 3.15.1. Unauthenticated attackers can execute arbitrary shortcodes.

    The source describes remote code execution caused by missing neutralization of shortcode brackets in request-derived values. Unauthenticated attackers can use this to execute arbitrary shortcodes registered on the site.

    I consider this relevant despite its medium rating because no login is required. The vulnerability is not listed in CISA's KEV catalog as actively exploited.

    Update to 3.15.2.

    Affected
    Ninja Forms – The Contact Form Builder That Grows With You
    Fixed in
    3.15.2
    CVSS
    4.8
    source contact@wpscan.com
    Login required
    no
    Likely to be exploited
    0.23 %
    percentile 14.5
    Type
    CWE-74
    Actively exploited
    not on the KEV list
    Published
    2026-09-04

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  7. Act now Wordfence

    WPFunnels

    CVE-2025-15691

    Affects you if you use WPFunnels. The sources name affected versions before 3.13.0 and through 3.13.0.

    The source describes a missing authorization check. Unauthenticated attackers can create WordPress user accounts, according to the source, even when registration is disabled. It also calls this an incomplete fix for CVE-2025-12353.

    The sources disagree on the affected version: One names versions before 3.13.0, while another names all versions through 3.13.0. I classify this as requiring immediate attention. It is not listed in the KEV catalog of actively exploited vulnerabilities.

    Update to 3.13.0; the source names no workaround.

    Affected
    WPFunnels – Funnel Builder for WooCommerce with Checkout & One Click Upsell
    Fixed in
    3.13.0
    CVSS
    5.3
    source 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Login required
    no
    Likely to be exploited
    0.18 %
    percentile 8.0
    Type
    CWE-863
    Actively exploited
    not on the KEV list
    Published
    2026-09-04

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  8. Act now Wordfence

    Shared Files Pro

    CVE-2026-19084

    Affects you if you use Shared Files Pro before 1.7.70. Unauthenticated attackers can read arbitrary files and republish their contents at a public URL.

    The plugin does not sufficiently validate a user supplied file path. I rate this as serious because attackers can read arbitrary files from the server without logging in.

    The source specifically includes sensitive configuration files. It also says the contents can be republished at a public URL. The vulnerability is not listed in CISA's KEV catalog as actively exploited.

    Update Shared Files Pro to 1.7.70.

    Affected
    Shared Files Pro
    Fixed in
    1.7.70
    CVSS
    7.5
    source 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Login required
    no
    Likely to be exploited
    0.32 %
    percentile 24.5
    Type
    CWE-73
    Actively exploited
    not on the KEV list
    Published
    2026-09-03

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  9. Act now Wordfence

    Simple Ajax Chat: Add a Fast, Secure Chat Box

    CVE-2026-81807

    Affects you if you run the Simple Ajax Chat: Add a Fast, Secure Chat Box WordPress plugin before 20260827 and users access the chat.

    I classify this as stored cross-site scripting. Unauthenticated attackers can inject arbitrary web scripts into pages. Those scripts run whenever someone accesses an affected page, including administrators.

    The source names insufficient input sanitization and output escaping as the cause. It does not describe any impact beyond the scripts running in the browser.

    Update the plugin to 20260827.

    Affected
    Simple Ajax Chat – Add a Fast, Secure Chat Box
    Fixed in
    20260827
    CVSS
    8.8
    source 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Login required
    no
    Likely to be exploited
    0.28 %
    percentile 20.1
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-09-03

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  10. Act now Wordfence

    FAQ Builder AYS

    CVE-2026-81737

    Affects you if you use FAQ Builder AYS in the affected versions.

    Unauthenticated attackers can inject scripts into pages because input is not sufficiently sanitized or escaped. The scripts execute when a user accesses an injected page.

    The source describes stored cross-site scripting. It is not listed in CISA's KEV catalog of actively exploited vulnerabilities.

    Update to 1.8.5.

    Affected
    FAQ Builder AYS
    Fixed in
    1.8.5
    CVSS
    8.8
    source 134c704f-9b21-4f2e-91b3-4a467353bcc0
    Login required
    no
    Likely to be exploited
    0.25 %
    percentile 16.1
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-09-03

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

238 checked and dismissed, with reasons
  • 138 advisoriesSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 31 advisoriesDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 advisoriesGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 13 advisoriesVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 11 advisoriesEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 10 advisoriesSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 advisoriesEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 advisoriesJava-Servertechnik wie Tomcat, Jenkins oder Log4j. WordPress ist in PHP geschrieben, auf einem üblichen Webserver läuft gar kein Java, eine Java-Lücke findet dort schlicht nichts vor, worin sie ausgeführt werden könnte. Auch der große Log4j-Fall von 2021 betraf WordPress-Server aus genau diesem Grund nicht.
  • CVE-2025-10263Linux-Kernel, die konkrete Meldung betrifft Arm-Prozessoren und besondere Ausnahmelevel, also eine hardware- und architekturspezifische Variante statt des allgemeinen Serverbetriebs.
  • CVE-2026-1933Samba ist ein Dateifreigabedienst für Windows-Netzwerke, auf einem reinen Webserver mit WordPress läuft er üblicherweise nicht.
  • CVE-2026-64561Linux-Kernel, lokale Rechteausweitung. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine, aus der Ferne ohne Anmeldung nicht ausnutzbar.
  • CVE-2022-49732Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2025-39964Linux-Kernel, Fehler im Krypto-Subsystem. Erfordert bereits ein Konto oder einen laufenden Prozess auf der Maschine.
  • CVE-2022-50712Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2022-42719Linux-Kernel, Fehler im WLAN-Stack. Betrifft nur WLAN-fähige Geräte, nicht den Webserver-Betrieb.
  • CVE-2025-68767Linux-Kernel, lokale Rechteausweitung, erfordert bereits ein Konto auf der Maschine.
  • CVE-2026-0864CPython, Interpreter auf Servern vorinstalliert. Lücke erfordert Kontrolle über geschriebene Werte, nicht aus der Ferne auslösbar.
  • CVE-2026-15308CPython, Denial of Service im HTML-Parser. Erfordert, dass ein Dienst unkontrollierte HTML-Daten verarbeitet, das ist auf einem Webserver mit WordPress nicht der Fall.
  • CVE-2026-13149Red Hat Ansible Automation Platform, eine Automatisierungsplattform, die in der Welt der Leser nicht vorkommt.
  • CVE-2026-89003WPeMatico RSS Feed Fetcher, authentifizierte SSRF, ist in dieser Meldung inhaltlich bereits durch CVE-2026-89000 abgedeckt.
  • CVE-2026-89005WPeMatico RSS Feed Fetcher, authentifiziertes gespeichertes Cross-Site-Scripting, ist in dieser Meldung inhaltlich bereits durch CVE-2026-89002 abgedeckt.
  • CVE-2026-94680The Post Grid, authentifiziertes gespeichertes Cross-Site-Scripting, ist in dieser Meldung inhaltlich bereits durch CVE-2026-94671 abgedeckt.