Das WordPress-Plugin Login with phone number bis einschliesslich Version 1.8.78 enthält eine fehlerhafte Authentifizierung (CWE-1390, CVSS 8.8 laut CNA). Laut Patchstack kann ein Angreifer das Login umgehen oder sich ohne Passwort als andere Benutzer anmelden. Patchstack nennt als erforderliche Berechtigung Subscriber, daher ist möglicherweise ein Konto mit niedrigen Rechten nötig, die genaue Voraussetzung ist jedoch nicht bestätigt.
Hamid Alinia · Login with phone number
Das WordPress-Plugin BuddyPress enthält eine Blind SQL-Injection-Schwachstelle (CWE-89) in den Versionen bis und mit 14.5.2. Ein Angreifer mit einem Konto mit niedrigen Rechten kann SQL-Befehle einschleusen und Datenbankinhalte auslesen, darunter Benutzerkonten und private Daten, wobei dies langsam ist und viele Anfragen erfordert. Patchstack stuft das Problem als hohe Priorität mit einem CVSS-Wert von 8.5 ein, VulDB gibt 6.3 an; die Analyse durch die NVD steht noch aus.
WordPress BuddyPress · BuddyPress
Das WordPress-Plugin Motors - Car Dealership & Classified Listings bis und mit Version 1.4.126 enthält eine Blind SQL-Injection-Schwachstelle (CWE-89). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch manipulierte Anfragen Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Patchstack stuft das Problem mit einem CVSS-Wert von 9.3 als hohe Priorität ein.
StylemixThemes · Motors
Das WordPress-Plugin Broadcast Live Video (videowhisper-live-streaming-integration) bis und mit Version 7.3.9 enthält eine Schwachstelle bei der Zugriffskontrolle, klassifiziert als fehlende Autorisierung (CWE-862). Ein angemeldeter Benutzer mit niedrigen Rechten, etwa ein Subscriber-Konto, kann möglicherweise Aktionen ausführen, die ihm nicht erlaubt sind, was die Integrität und Verfügbarkeit der Website beeinträchtigen kann. Die Quellen widersprechen sich bei der genauen Schwachstelle und Bewertung: Die CNA bewertet sie mit 7.1, VulDB klassifiziert sie als CWE-306 mit 5.4.
VideoWhisper.com · Broadcast Live Video
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Das WordPress-Plugin TableOn (posts-table-filterable) bis und mit Version 1.0.7 enthält eine Reflected-Cross-Site-Scripting-Schwachstelle (CWE-79). Ein Angreifer kann einen Link oder eine Seite präparieren, mit der bösartige Skripte in die Website eingeschleust werden, die im Browser eines Besuchers ausgeführt werden. Voraussetzung ist, dass ein Benutzer, zum Beispiel ein angemeldeter Administrator, den präparierten Link anklickt oder die präparierte Seite besucht.
PluginUs.Net · TableOn
LearnPress, ein WordPress-Plugin zum Erstellen und Verkaufen von Online-Kursen, enthält in Versionen bis einschliesslich 4.4.11 eine fehlende Autorisierungsprüfung (CWE-862). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann dadurch möglicherweise auf Funktionen oder Daten zugreifen, die ihm nicht zustehen, etwa Informationen anderer Benutzer. Der CVSS-Basiswert beträgt 7.5 mit hoher Auswirkung nur auf die Vertraulichkeit; der betroffene Endpunkt ist in den Quellen nicht beschrieben, und VulDB bewertet die Schwere tiefer (5.3).
ThimPress · LearnPress
Das WordPress-Theme OceanWP bis und mit Version 4.2.7 enthält eine Schwachstelle vom Typ reflektiertes Cross-Site-Scripting (XSS) (CVE-2026-115592). Ein Angreifer kann einen präparierten Link erstellen, der Skripte in den Browser eines Besuchers der betroffenen Website einschleust. Der Angriff erfordert, dass ein Opfer den präparierten Link öffnet, weshalb das Hauptrisiko bei angemeldeten Benutzern liegt, insbesondere bei Administratoren. Für die Vorbereitung des Angriffs ist keine Anmeldung erforderlich.
OceanWP · OceanWP WordPress theme
Recherche und Übersetzung laufen – in Kürze hier.
Das WordPress-Plugin GEO my WordPress (geo-my-wp) in den Versionen bis und mit 4.5.5.5 verfügt über unzureichende Autorisierungsprüfungen. Gemäss CNA kann ein nicht authentifizierter Angreifer aus dem Netzwerk auf Funktionen oder Daten zugreifen, für die er keine Berechtigung hat, mit hoher Auswirkung auf die Vertraulichkeit. Die Gefährdung hängt davon ab, ob eine öffentlich erreichbare WordPress-Seite das betroffene Plugin einsetzt.
Eyal Fitoussi · GEO my WordPress
Das WordPress-Plugin HANDMADE – Dropshipping for Etsy and WooCommerce bis einschliesslich Version 1.0.10 verfügt über eine fehlende Berechtigungsprüfung (CWE-862). Laut CVE-Eintrag kann ein authentifizierter Benutzer mit niedrigen Berechtigungen möglicherweise Aktionen ausführen, die ihm nicht zustehen, was die Verfügbarkeit und Integrität von Daten im WooCommerce-Shop betreffen könnte. Der CVSS-Wert beträgt 7.1 (hoch), die genau betroffene Funktion und die erforderliche Berechtigungsstufe sind in den geprüften Quellen jedoch nicht dokumentiert.
VillaTheme · HANDMADE – Dropshipping for Etsy and WooCommerce
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
Checkmk vertraut in seinen gebündelten CA-Speichern (certifi und laut einigen Quellen webpki-roots) einer Root-CA, die zu Zwischenzertifikaten von eMudhra (emSign) führt, deren private Schlüssel kompromittiert wurden. Ein Angreifer mit einem dieser Schlüssel könnte Zertifikate für beliebige Hostnamen ausstellen, die als gültig akzeptiert würden. Voraussetzung für einen Angriff ist zusätzlich, dass der Angreifer den Datenverkehr zwischen Checkmk und einem überwachten HTTPS-Endpunkt abfangen kann, etwa über eine Man-in-the-Middle-Position.
Checkmk GmbH · Checkmk
Recherche und Übersetzung laufen – in Kürze hier.
Die offizielle Foxit-Website bettet ein Drittanbieter-API-Token in ihren JavaScript-Code ein, sodass jeder Besucher es auslesen kann. Ein Angreifer, der das Token erhält, kann gefälschte Benutzerverhaltensdaten übermitteln und die Datenstatistiken von Foxit verfälschen. Laut Foxit-Bulletin dient das Token der Übermittlung von Benutzerverhaltensdaten; der CNA-Eintrag stuft die Auswirkung als Informationsoffenlegung mit hoher Vertraulichkeitsauswirkung ein.
Foxit Software Inc. · foxit.com
Der Online-Dienst zur HTML-zu-PDF-Konvertierung auf der offiziellen Website von Foxit enthält eine Server-Side Request Forgery (SSRF). Durch das Einreichen von ZIP-formatierten Eingaben kann ein nicht authentifizierter Angreifer aus der Ferne die Beschränkungen für Anfragen an interne IP-Adressen umgehen und möglicherweise interne Netzwerkressourcen entdecken. Die Schwachstelle betrifft den von Foxit gehosteten Dienst und nicht Installationen beim Kunden; Foxit gibt an, dass die Korrektur am 29. Oktober 2026 veröffentlicht wurde.
Foxit Software Inc. · foxit.com HTML-to-PDF conversion service
Eine Schwachstelle in der Zugriffskontrolle des Online-HTML-zu-PDF-Konvertierungsdienstes auf der offiziellen Foxit-Website verwendet für eingereichte Dokumente ein gemeinsames Token. Ein nicht authentifizierter Angreifer aus dem Internet kann unter Umständen Konvertierungsdokumente anderer Benutzer abrufen. Laut Herstellerbulletin ist das Problem serverseitig behoben und es ist keine Aktion durch Kunden erforderlich.
Foxit Software Inc. · foxit.com HTML-to-PDF online service
Recherche und Übersetzung laufen – in Kürze hier.
Recherche und Übersetzung laufen – in Kürze hier.
