intelligent piXel

Threat Log

984advisories read
1000affect you
-16checked and dismissed
As of

Updated every 6 hours
Subscribe via RSS
10 of 1000 entries
  1. This week Wordfence

    Rede Itaú for WooCommerce

    CVE-2026-92428

    Affects you if you use the Rede Itaú for WooCommerce WordPress plugin through 5.5.2. It can change order status without a login.

    The source says the plugin does not verify the authenticity of a payment notification before updating an order's status. As a result, unauthenticated attackers can change the status of arbitrary WooCommerce orders, including orders that were already paid or completed.

    The card rates CVE-2026-92428 at 5.3, which is medium under CVSS. Another rating classifies it as high. The source says no login is required.

    Update to 5.5.3.

    Affected
    Rede Itaú for WooCommerce
    Fixed in
    5.5.3
    CVSS
    5.3
    source WPScan
    Login required
    no
    Likely to be exploited
    0.11 %
    percentile 1.4
    Type
    CWE-345
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  2. This week Wordfence

    Rede Itaú for WooCommerce

    CVE-2026-92429

    Affects you if you use Rede Itaú for WooCommerce in versions 3.7.1 through 5.5.2.

    The plugin does not adequately verify the authenticity of a payment response before changing an order status. Unauthenticated attackers can therefore change the status of arbitrary WooCommerce orders, mark unpaid orders as paid, or cancel completed orders.

    WPScan scores the vulnerability 5.3, which is medium. According to the source, no login is required.

    Update to 5.5.3.

    Affected
    Rede Itaú for WooCommerce
    Fixed in
    5.5.3
    CVSS
    5.3
    source WPScan
    Login required
    no
    Likely to be exploited
    0.11 %
    percentile 1.4
    Type
    CWE-345
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  3. This week Wordfence

    Coinbase Commerce Payment Gateway for WooCommerce

    CVE-2026-103311

    Affects you if you use the Coinbase Commerce Payment Gateway for WooCommerce through 1.4.1 on your WordPress site to accept payments.

    I rate this as medium. WPScan scores it at 5.3, which is medium. Incoming payment webhook notifications are not checked for authenticity because the shared secret used to validate the signature is empty by default, and an unconfigured secret is not rejected.

    Unauthenticated attackers can therefore send forged notifications that mark arbitrary orders as paid or cancel orders that were already paid. It is not listed in the KEV catalog of actively exploited vulnerabilities.

    The source does not name a fixed version or a workaround.

    Affected
    Coinbase Commerce Payment Gateway for WooCommerce
    CVSS
    5.3
    source WPScan
    Login required
    no
    Likely to be exploited
    0.11 %
    percentile 1.4
    Type
    CWE-345
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  4. This week Wordfence

    User Registration & Membership

    CVE-2026-103076

    Affects you if you use this WordPress plugin in a version up to and including 5.2.8. The source describes a CSRF vulnerability.

    A Cross-Site Request Forgery flaw caused by missing or incorrect validation of a security token. An unauthenticated attacker can perform an unauthorized action if they trick an administrator into clicking a forged link.

    I rate it as relevant. The source does not name a more specific effect of the unauthorized action. The flaw is not listed in CISA's KEV catalog of actively exploited vulnerabilities.

    Update to 5.3.0; the source does not name a workaround.

    Affected
    User Registration & Membership
    Fixed in
    5.3.0
    CVSS
    5.4
    source Patchstack
    Login required
    no
    Likely to be exploited
    0.10 %
    percentile 0.9
    Type
    CWE-352
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  5. This week Wordfence

    BuddyPress XProfile Custom Image Field

    Wordfence advisory

    Affects you if you use BuddyPress XProfile Custom Image Field through 3.1.0 with open registration and an image profile field on the signup form.

    The plugin lets unauthenticated attackers delete arbitrary files on the server. This requires open registration and an image profile field on the signup form.

    According to the source, deleting the right file can lead to remote code execution.

    The source does not name a fixed version or a workaround.

    Affected
    BuddyPress XProfile Custom Image Field
    CVSS
    9.1
    source Wordfence
    Login required
    no
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  6. For the record Wordfence

    PeproDev Branches Map (Mapify)

    CVE-2025-9373

    Affects you if you use PeproDev Branches Map through 3.0.1 and an authenticated account with Contributor-level access or above can use it.

    The plugin contains stored cross-site scripting caused by insufficient input sanitization and output escaping. Authenticated attackers with Contributor-level access or above can inject arbitrary web scripts into pages, where they execute whenever a user accesses an injected page.

    I consider this relevant even though it requires authentication. It is not listed in CISA's KEV catalog as an actively exploited vulnerability.

    Update to 3.0.2.

    Affected
    PeproDev Branches Map (Mapify)
    Fixed in
    3.0.2
    CVSS
    6.4
    source Wordfence
    Login required
    yes, user account
    Likely to be exploited
    0.25 %
    percentile 15.9
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  7. For the record Wordfence

    FV Player 8

    CVE-2026-95807

    Affects you if you run FV Player 8 through 8.1.7 and an attacker has Contributor access or comments process Vimeo and YouTube links.

    A stored cross-site scripting flaw in the “synopsis” shortcode attribute. Insufficient input sanitization and output escaping allow authenticated attackers with Contributor-level access or higher to inject arbitrary web scripts into pages. Those scripts execute whenever someone accesses an injected page.

    Unauthenticated visitors can also exploit the flaw when processing Vimeo and YouTube links in comments is enabled. The plugin then processes shortcodes within comment text.

    Update to 8.1.8.

    Affected
    FV Player 8
    Fixed in
    8.1.8
    CVSS
    6.4
    source Wordfence
    Login required
    yes, user account
    Likely to be exploited
    0.25 %
    percentile 15.9
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  8. For the record Wordfence

    Document Gallery

    CVE-2026-74921

    Affects you if you use Document Gallery in versions 4.0 through 5.1.1 and an authenticated user with Contributor access or higher can add content.

    Document Gallery contains stored Cross-Site Scripting caused by insufficient input sanitization and output escaping. An authenticated attacker with Contributor access or higher can inject web scripts into pages. They execute when someone accesses an affected page.

    I rate the vulnerability medium with a CVSS of 6.8. WPScan is the source of that rating. The source says the injected scripts execute when the affected page is accessed, including by higher-privileged users.

    The source does not name a fixed version or a workaround.

    Affected
    Document Gallery
    CVSS
    6.8
    source WPScan
    Login required
    yes, administrator
    Likely to be exploited
    0.24 %
    percentile 13.7
    Type
    CWE-79
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  9. For the record Wordfence

    Download Monitor integration for WooCommerce

    CVE-2026-109896

    Affects you if you run Download Monitor integration for WooCommerce through 1.0.3 and an attacker is signed in with customer level access or higher.

    I classify this as a matter for awareness. A function does not check authorization. Authenticated attackers with customer level access or higher can therefore perform an unauthorized action. The source does not name that action.

    The vulnerability is not listed in the CISA KEV catalog as actively exploited.

    Update to 1.0.4.

    Affected
    Download Monitor integration for WooCommerce
    Fixed in
    1.0.4
    CVSS
    4.3
    source Patchstack
    Login required
    yes, user account
    Likely to be exploited
    0.16 %
    percentile 5.0
    Type
    CWE-862
    Actively exploited
    not on the KEV list
    Published
    2026-10-13

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

  10. Act now Wordfence

    File Upload to Order for WooCommerce

    CVE-2026-107594

    Affects you if you use File Upload to Order for WooCommerce through 1.1.3 and its file-deletion action can be reached without authentication.

    The plugin deletes files based on file paths that are not sufficiently validated or confined. According to the source, the action is reachable without authentication and allows arbitrary files to be deleted from the server.

    I rate this vulnerability as critical. CISA scores it at 10.0, which is critical. Deleting the right file can lead to full site compromise or code execution, according to the source. It is not listed in CISA's catalog of actively exploited vulnerabilities.

    Update to 1.1.4; the source does not name a workaround.

    Affected
    File Upload to Order for WooCommerce
    Fixed in
    1.1.4
    CVSS
    10.0
    source CISA
    Login required
    no
    Likely to be exploited
    0.46 %
    percentile 39.0
    Type
    CWE-73
    Actively exploited
    not on the KEV list
    Published
    2026-10-12

    Sources: NVD · EPSS · Wordfence
    Includes data from the CVE Program, © MITRE Corporation.

-16 checked and dismissed, with reasons
  • 113 advisoriesSteht nicht auf der Beobachtungsliste dieses Lagebilds. Entweder gehört das Produkt nicht zu den Bausteinen eines Webservers mit WordPress, oder es ist eine Bibliothek, deren Korrektur mit den regelmäßigen Updates der Distribution ohnehin eingespielt wird, ohne eigenen Handgriff. Meldungen, die mehr verlangen als das, stehen oben als eigener Eintrag.
  • 23 advisoriesDie Paketmeldung einer anderen Distribution, etwa Red Hat oder FreeBSD. Jede Distribution veröffentlicht dieselbe Lücke für ihre eigenen Pakete als eigene Meldung. Für Server mit Debian oder Ubuntu zählt die Meldung der eigenen Distribution, und die erscheint hier als eigener Vorgang, sobald sie ein beobachtetes Produkt trifft.
  • 18 advisoriesGrafische Linux-Software für den Arbeitsplatz, etwa Bildbearbeitung, Medienbibliotheken oder der Druckdienst. Ein Webserver läuft ohne grafische Oberfläche, diese Pakete sind dort im Regelfall gar nicht installiert. Auf einem Linux-Arbeitsplatzrechner gilt dasselbe wie bei Browsern: aktuell halten, aber die Quelle dafür ist ein anderes Lagebild.
  • 17 advisoriesEine Programmiersprache samt Laufzeit, etwa Go oder Erlang. Eine Lücke dort erreicht einen Server nur über ein Programm, das in dieser Sprache geschrieben und dort installiert ist. WordPress und die übliche Serversoftware sind in PHP und C geschrieben, und was die Distribution selbst in Go ausliefert, meldet sie über ihre eigenen Sicherheitshinweise.
  • 15 advisoriesSoftware für Arbeitsplatzrechner und Telefone, Browser eingeschlossen. Sie gefährdet den Rechner, an dem Sie sitzen, nicht den Server, auf dem Ihre Seite läuft. Aktuell halten sollten Sie sie trotzdem, denn ein übernommener Arbeitsplatz gibt Angreifern oft die gespeicherten Zugänge zum Server preis. In dieses Serverlagebild gehört sie nicht.
  • 8 advisoriesEine eigenständige Serveranwendung wie Keycloak, Zabbix oder Snipe-IT. So etwas installiert niemand aus Versehen: wer sie betreibt, hat sich für sie entschieden und kennt ihren Update-Weg. Auf einem Webserver mit WordPress ist sie nicht enthalten, und ihre Lücken erreichen eine WordPress-Seite nicht.
  • 7 advisoriesVirtualisierung und Container-Orchestrierung. Bei einem gemieteten Server ist das die Schicht darunter, und die betreibt der Anbieter: als Mieter können Sie dort weder etwas prüfen noch etwas einspielen. Wer eigene Virtualisierungs-Wirte betreibt, weiß das und braucht dafür eine eigene Beobachtung.
  • 6 advisoriesNetzwerk- und Sicherheitsgeräte wie Firewalls und VPN-Zugänge. Sie stehen vor einem Firmennetz, nicht auf einem gemieteten Server, dort gehört diese Ebene dem Hoster. Wer ein solches Gerät im Büro stehen hat, sollte dessen Updates ernst nehmen, denn genau diese Geräteklasse wird derzeit besonders häufig aktiv angegriffen. Das ist aber ein anderes Lagebild.
  • CVE-2022-31628PHP, lokale Denial-of-Service-Schwachstelle beim Entpacken speziell präparierter Phar-Daten; sie erfordert bereits lokalen Zugriff auf den Prozess.
  • CVE-2024-1874Diese PHP-Schwachstelle betrifft ausschließlich Windows bei proc_open() mit Array-Syntax, nicht den üblichen PHP-FPM-Betrieb auf Linux-Servern.
  • CVE-2024-4577Diese PHP-CGI-Schwachstelle setzt Apache und PHP-CGI auf Windows mit bestimmten Codepages voraus, eine andere Produktwelt als PHP-FPM auf Linux.
  • CVE-2025-40110Linux-Kernel, die konkrete Schwachstelle betrifft den VMware-Grafiktreiber vmwgfx und damit eine spezielle virtuelle Grafikumgebung.
  • CVE-2026-74734Linux-Kernel, die konkrete Schwachstelle liegt im FireWire-OHCI-Treiber und erfordert spezielle IEEE-1394-Hardware, die auf üblichen Webservern nicht vorausgesetzt werden kann.
  • CVE-2026-93205Linux-Kernel, die konkrete Schwachstelle betrifft den ARM-SMMU-v3-Treiber und eine spezielle ARM-IOMMU-Hardwarekonfiguration.
  • CVE-2024-14029Red Hat Enterprise Linux mit Tornado, RESTEasy, Bubblewrap und pgvector gehört nicht zur typischen Debian- oder Ubuntu-Serverwelt; die Meldung betrifft zudem ein gemischtes Paketbündel statt einen klar erreichbaren Dienst.
  • CVE-2026-108490Premium Addons for Elementor und die nahezu gleichlautende Meldung CVE-2026-108482 beschreiben denselben Angriffsweg und dieselbe fehlerhafte Version, daher ist diese Meldung eine Doppelung.