Beiträge zum Thema: WordPress
24. Juli 2026
Sicherheits-Bulletin vom 24. Juli 2026: Unbezahlte Bestellungen als „bezahlt" markiert — Zahlungs-Manipulation im Stripe-Plugin für WooCommerce, dazu Rechte-Ausweitung in EventON und Datenverlust in Easy Appointments (CVE-2026-12654, CVE-2026-10033 & CVE-2026-8789)
Drei am 24. Juli 2026 veröffentlichte WordPress-Lücken: eine unauthentifizierte Bestellstatus-Manipulation im Stripe-Zahlungs-Plugin für WooCommerce (Payment-Fraud), eine unauthentifizierte Rechte-Ausweitung in EventON Action User und eine hochbewertete Datenlösch-Lücke in Easy Appointments.
Weiterlesen → Sicherheit23. Juli 2026
Sicherheits-Bulletin vom 23. Juli 2026: Zwei anmeldungsfreie Lücken in Shop- und Formular-Plugins — SQL-Injection in Lumise Product Designer (WooCommerce) und Stored-XSS in FormCraft (CVE-2026-9713 & CVE-2026-7232)
Zwei am 23. Juli 2026 veröffentlichte WordPress-Lücken, beide ohne Anmeldung ausnutzbar: unauthentifizierte SQL-Injection im Lumise Product Designer for WooCommerce und unauthentifiziertes Stored-XSS in FormCraft. Dazu ein Nachtrag zur weiterhin aktiv ausgenutzten Kernlücke der wp2shell-Kette.
Weiterlesen → Sicherheit21. Juli 2026
Sicherheits-Bulletin vom 21. Juli 2026: Zwei Stored-XSS-Lücken in Plugins mit Millionen Installationen — WPForms und Essential Addons for Elementor (CVE-2026-15782 & CVE-2026-15156)
Zwei am 21. Juli 2026 veröffentlichte WordPress-Plugin-Lücken: Stored-XSS in WPForms (AI Form Builder) und in Essential Addons for Elementor — beide aus einem Beitragenden-Konto auslösbar.
Weiterlesen → Sicherheit20. Juli 2026
Sicherheits-Bulletin vom 20. Juli 2026: drei anmeldungsfreie WordPress-Plugin-Lücken — SQL-Injection, Pfad-Durchquerung und Stored-XSS (CVE-2026-11349, CVE-2026-12898 & CVE-2026-10081)
Drei ohne Anmeldung ausnutzbare WordPress-Plugin-Schwachstellen vom 20. Juli 2026: SQL-Injection in Modern Events Calendar, Pfad-Durchquerung in All-in-One WP Migration und Stored-XSS in Unlimited Elements.
Weiterlesen → Sicherheit19. Juli 2026
Sicherheits-Bulletin vom 19. Juli 2026: wp2shell — öffentliche Exploits sind da, erste Angriffe laufen (CVE-2026-60137 & CVE-2026-63030)
wp2shell: Für die WordPress-Kern-Kette kursieren seit dem Wochenende lauffähige Exploits, erste Angriffe laufen. Jetzt aktualisieren und Integrität prüfen.
Weiterlesen → Sicherheit18. Juli 2026
Sicherheits-Bulletin vom 18. Juli 2026: Notfall-Update für den WordPress-Kern — vorauthentifizierte SQL-Injection-Kette „wp2shell" (CVE-2026-60137 & CVE-2026-63030)
WordPress veröffentlicht die Notfall-Versionen 7.0.2, 6.9.5 und 6.8.6 gegen eine SQL-Injection im Kern, die verkettet mit einer REST-Batch-Route-Verwechslung ohne Anmeldung zur Remote-Code-Ausführung führt. Auto-Updates wurden erzwungen — jetzt prüfen.
Weiterlesen → Sicherheit17. Juli 2026
Sicherheits-Bulletin vom 17. Juli 2026: Zwei kritische Übernahme-Lücken ohne Anmeldung in Bricksforge und AI Copilot — plus Rechteausweitung und Zahlungsbetrug im Shop
Unauthentifizierte Admin-Übernahme in Bricksforge (CVSS 9,8) und im AI-Copilot-Plugin (CVSS 9,8), Privilegien-Eskalation in User Registration & Membership und ein gefälschter Zahlungs-Callback im PhonePe-Gateway.
Weiterlesen → Sicherheit16. Juli 2026
Sicherheits-Bulletin vom 16. Juli 2026: Kritische Signature-Algorithmus-Verwechslung im SAML-SSO-Plugin und drei weitere WordPress-Schwachstellen
Kritische Lücke im SAML Single Sign On WordPress-Plugin (CVSS 9,8) — plus Privilegien-Eskalation in WPFunnels, CSRF in Loco Translate und Privilegien-Eskalation im Digits-Plugin.
Weiterlesen → Sicherheit14. Juli 2026
Sicherheits-Bulletin vom 14. Juli 2026: Kritischer RCE in Newsletters, Stored XSS in News Kit Addons und WP Customer Area
Kritischer RCE über Deserialisierung in Tribulant Newsletters — plus zwei Stored-XSS-Schwachstellen in Elementor-Addons und WP Customer Area.
Weiterlesen → Sicherheit13. Juli 2026
Sicherheits-Bulletin vom 13. Juli 2026: Unauthentifizierte SQL-Injection im WordPress-Plugin Booking Package
Ruhiger Wochenbeginn: eine unauthentifizierte SQL-Injection im Buchungs-Plugin Booking Package — über einen offenen REST-Endpunkt, in der Ausnutzbarkeit durch eine E-Mail-Prüfung eingeschränkt und bislang ohne Korrektur.
Weiterlesen → Sicherheit12. Juli 2026
Sicherheits-Bulletin vom 12. Juli 2026: Codeausführung in WP Ultimate CSV Importer, Datei-Einbindung in LA-Studio Element Kit, Cross-Site-Scripting in Motors und E-Mail-Manipulation in NEX-Forms
Sicherheits-Überblick zum Wochenende: eine Codeausführung in WP Ultimate CSV Importer, eine lokale Datei-Einbindung in LA-Studio Element Kit, ein Cross-Site-Scripting in Motors und eine E-Mail-Manipulation in NEX-Forms.
Weiterlesen → Sicherheit11. Juli 2026
Sicherheits-Bulletin vom 11. Juli 2026: Datei-Lesen in W3 Total Cache, Konto-Übernahme in Essential Addons for Elementor, Zahlungsschlüssel-Leck in Cost Calculator Builder und Datei-Upload in RSFiles!
Täglicher Sicherheits-Überblick: ein unauthentifiziertes Datei-Lesen in W3 Total Cache, eine Konto-Übernahme in Essential Addons for Elementor, ein Leck von Zahlungsschlüsseln in Cost Calculator Builder und ein Datei-Upload mit Codeausführung in der Joomla-Erweiterung RSFiles!.
Weiterlesen → Sicherheit10. Juli 2026
Sicherheits-Bulletin vom 10. Juli 2026: Datei-Upload in Super Forms, Authentifizierungs-Umgehung in miniOrange Social Login, SQL-Injection in Ultimate Member und Zahlungs-Manipulation in SureForms
Täglicher Sicherheits-Überblick: ein Datei-Upload mit Codeausführung in Super Forms, eine Authentifizierungs-Umgehung in miniOrange Social Login, eine SQL-Injection in Ultimate Member und eine Zahlungs-Manipulation in SureForms.
Weiterlesen → Sicherheit9. Juli 2026
Sicherheits-Bulletin vom 9. Juli 2026: Authentifizierungs-Umgehung in miniOrange OTP, Datei-Upload in Blocksy Companion Pro, Plugin-Installation per CSRF in Divi Torque und Konto-Übernahme in Divi Form Builder
Täglicher Sicherheits-Überblick: eine Authentifizierungs-Umgehung in miniOrange OTP, ein Datei-Upload mit Codeausführung in Blocksy Companion Pro, eine Plugin-Installation per CSRF in Divi Torque und eine Konto-Übernahme in Divi Form Builder.
Weiterlesen → Sicherheit8. Juli 2026
Sicherheits-Bulletin vom 8. Juli 2026: Plugin-Installation ohne Anmeldung in WP Learn Manager, Zahlungs-Bypass in LatePoint, Konto-Übernahme in Eventer und SQL-Injection in My Calendar
Täglicher Sicherheits-Überblick: eine unauthentifizierte Plugin-Installation in WP Learn Manager, ein Zahlungs-Bypass in LatePoint, eine Konto-Übernahme in Eventer und eine unauthentifizierte SQL-Injection in My Calendar.
Weiterlesen → Sicherheit7. Juli 2026
Sicherheits-Bulletin vom 7. Juli 2026: Lieferketten-Backdoor in Uncanny Automator Pro, Codeausführung in WPFunnels, Datei-Löschung im Frontend File Manager und Datei-Schreiben in AMP for WP
Täglicher Sicherheits-Überblick: ein Lieferketten-Angriff mit Backdoor in Uncanny Automator Pro, eine unauthentifizierte Codeausführung in WPFunnels, eine Datei-Löschung im Frontend File Manager und ein Datei-Schreiben in AMP for WP.
Weiterlesen → Sicherheit6. Juli 2026
Sicherheits-Bulletin vom 6. Juli 2026: Befehls-Injektion in File-Manager-Plugins, Datei-Upload in FileOrganizer, Rechteausweitung in Admin and Site Enhancements und Cross-Site-Scripting in Simple Membership
Täglicher Sicherheits-Überblick: eine kritische Befehls-Injektion in verbreiteten File-Manager-Plugins, ein Datei-Upload in FileOrganizer, eine unauthentifizierte Rechteausweitung in Admin and Site Enhancements und Cross-Site-Scripting in Simple Membership.
Weiterlesen → Sicherheit4. Juli 2026
Sicherheits-Bulletin vom 4. Juli 2026: Rechteausweitung in HestiaCP, Speicher-Überlauf im PHP-Kern, gespeichertes Cross-Site-Scripting in Ultimate Member und PII-Manipulation in LatePoint
Täglicher Sicherheits-Überblick: eine Rechteausweitung bis zur Server-Übernahme im Control-Panel HestiaCP, ein Speicher-Überlauf im PHP-Kern, gespeichertes Cross-Site-Scripting in Ultimate Member und unauthentifizierte Manipulation von Kundendaten in LatePoint.
Weiterlesen → Sicherheit3. Juli 2026
Sicherheits-Bulletin vom 3. Juli 2026: unauthentifiziertes gespeichertes Cross-Site-Scripting in wpDiscuz, Datei-Lesen in AR for WooCommerce und Cross-Site-Scripting in NEX-Forms
Täglicher Sicherheits-Überblick: ein ohne Anmeldung ausnutzbares gespeichertes Cross-Site-Scripting im Kommentar-Plugin wpDiscuz, ein unauthentifiziertes Datei-Lesen in AR for WooCommerce und ein gespeichertes Cross-Site-Scripting im Formular-Plugin NEX-Forms.
Weiterlesen → Sicherheit2. Juli 2026
Sicherheits-Bulletin vom 2. Juli 2026: kritische unauthentifizierte Remote-Code-Execution in Divi Form Builder, Datei-Löschung in Printcart, Datei-Lesen in Ninja Forms File Uploads und Datei-Löschung im Elementor-Plugin Image Optimizer
Täglicher Sicherheits-Überblick: eine kritische, ohne Anmeldung ausnutzbare Codeausführung in Divi Form Builder, eine unauthentifizierte Datei-Löschung im WooCommerce-Plugin Printcart, ein unauthentifiziertes Datei-Lesen in der Ninja-Forms-Erweiterung File Uploads und eine Datei-Löschung im Image-Optimizer-Plugin von Elementor.
Weiterlesen → Sicherheit1. Juli 2026
Sicherheits-Bulletin vom 1. Juli 2026: kritische unauthentifizierte Rechteausweitung in PrivateContent, Datei-Löschung in Business Directory, eine SQL-Injection in BookingPress und Cross-Site-Scripting in Enable Media Replace
Täglicher Sicherheits-Überblick: eine kritische, ohne Anmeldung ausnutzbare Rechteausweitung im Plugin PrivateContent, eine unauthentifizierte Datei-Löschung im Business Directory Plugin, eine SQL-Injection im Terminbuchungs-Plugin BookingPress und ein Cross-Site-Scripting im weit verbreiteten Enable Media Replace.
Weiterlesen → Sicherheit30. Juni 2026
Sicherheits-Bulletin vom 30. Juni 2026: kritische unauthentifizierte SQL-Injection in EventON, Konto-Übernahme in ProfileGrid und eine Deserialisierungs-Lücke in Export User Data
Täglicher Sicherheits-Überblick: eine kritische, ohne Anmeldung ausnutzbare SQL-Injection im Event-Kalender EventON, eine unauthentifizierte Konto-Übernahme in ProfileGrid und eine Deserialisierungs-Lücke mit Datei-Löschung in Export User Data.
Weiterlesen → Sicherheit29. Juni 2026
Sicherheits-Bulletin vom 29. Juni 2026: kritische unauthentifizierte Konto-Übernahme im Plugin Invoice Generator, eine Berechtigungslücke in ProfilePress und gespeichertes Cross-Site-Scripting im SiteOrigin Page Builder
Täglicher Sicherheits-Überblick: eine kritische, ohne Anmeldung ausnutzbare Konto-Übernahme im Plugin Invoice Generator, eine IDOR-Schwachstelle im Mitglieder-Plugin ProfilePress und gespeichertes Cross-Site-Scripting im weit verbreiteten SiteOrigin Page Builder.
Weiterlesen → Sicherheit28. Juni 2026
Sicherheits-Bulletin vom 28. Juni 2026: aktiv ausgenutzte Remote-Code-Execution im Cache-Plugin Breeze, Authentifizierungs-Umgehung in Burst Statistics und eine unauthentifizierte Lücke in WP Travel Engine
Täglicher Sicherheits-Überblick: aktiv ausgenutzte RCE im WordPress-Cache-Plugin Breeze, eine Authentifizierungs-Umgehung in Burst Statistics und eine unauthentifizierte Lücke in WP Travel Engine.
Weiterlesen → Sicherheit27. Juni 2026
Sicherheitshinweis: Aktiv ausgenutzte Schwachstelle im WordPress-Plugin Gravity SMTP (CVE-2026-4020) — API-Schlüssel und Tokens öffentlich abgreifbar
Ein ungeschützter REST-Endpoint im WordPress-Plugin Gravity SMTP legt API-Schlüssel und Tokens offen (CVE-2026-4020). Seit März in 2.1.5 behoben, im Juni massiv ausgenutzt.
Weiterlesen → Sicherheit26. Juni 2026
Sicherheits-Bulletin vom 26. Juni 2026: kritische Datei-Löschung in Avada Builder und Code-Injection in RD Station sowie ein Statusnachtrag zu zwei offenen Lücken
Täglicher Sicherheits-Überblick: kritische Lücken in Avada Builder und RD Station sowie ein Statusnachtrag zu zwei weiterhin ungepatchten WordPress-Plugins.
Weiterlesen → Sicherheit25. Juni 2026
Sicherheits-Bulletin vom 25. Juni 2026: CRLF-Injection im Laravel-Framework sowie kritische Konto-Übernahme im WordPress-Plugin Kirki
Täglicher Sicherheits-Überblick: eine CRLF-Injection im PHP-Framework Laravel und eine kritische, unauthentifizierte Konto-Übernahme im WordPress-Plugin Kirki.
Weiterlesen → Sicherheit24. Juni 2026
Sicherheits-Bulletin vom 24. Juni 2026: zwei Schwachstellen in WP Activity Log sowie eine SQL-Injection in The Events Calendar
Täglicher Sicherheits-Überblick: zwei Lücken im Audit-Plugin WP Activity Log und eine unauthentifizierte SQL-Injection in The Events Calendar.
Weiterlesen → Sicherheit23. Juni 2026
Sicherheits-Bulletin vom 23. Juni 2026: SQL-Injection in Infility Global sowie zwei noch ungepatchte WordPress-Plugin-Lücken
Täglicher Sicherheits-Überblick für WordPress und PHP: eine SQL-Injection in Infility Global sowie zwei noch ungepatchte WordPress-Plugin-Lücken.
Weiterlesen → Sicherheit22. Juni 2026
Sicherheits-Bulletin vom 22. Juni 2026: Rechteausweitung in Vitepos, kritische Lücke in PhpSpreadsheet und Cross-Site-Scripting in WooCommerce Auction Pro
Täglicher Sicherheits-Überblick für WordPress, E-Commerce und PHP: Rechteausweitung in Vitepos, Lücke in PhpSpreadsheet, XSS in WooCommerce Auction Pro.
Weiterlesen → Sicherheit22. Juni 2026
Sicherheitswarnung: Kritische UpdraftPlus-Lücke (CVE-2026-10795) — WordPress jetzt prüfen und aktualisieren
Kritische, aktiv ausgenutzte Lücke im WordPress-Plugin UpdraftPlus (CVE-2026-10795): Versionen bis 1.26.4 betroffen — bitte sofort auf 1.26.5 aktualisieren.
Weiterlesen →