Security und Sicherheitsupdates

Eine schwerwiegende LatePoint Sicherheitslücke kann WordPress-Websites durch SQL-Injection und Privilege Escalation gefährden. Sicherheitsforscher haben zwei separate Schwachstellen in dem beliebten WordPress-Plugin für Online-Terminbuchungen identifiziert. Die Sicherheitslücken werden als CVE-2026-96662 und CVE-2026-104766 geführt. LatePoint wird auf mehr als 100.000 WordPress-Websites eingesetzt und dient zur Verwaltung von Terminen, Reservierungen, Kunden und Online-Zahlungen. Beide Schwachstellen wurden durch Sicherheitsupdates […]

Eine kritische Traveler Sicherheitslücke mit der Kennung CVE-2026-93947 ermöglicht es Angreifern, ohne Anmeldung Blind SQL-Injection gegen betroffene WordPress-Websites durchzuführen. Die Schwachstelle betrifft das WordPress-Theme Traveler bis einschließlich Version 3.2.9 und hat einen CVSS-3.1-Score von 9,3 Critical. Traveler ist ein kommerzielles WordPress-Theme, das insbesondere für Reiseportale, Hotelreservierungen, Ferienunterkünfte, Touren und Online-Buchungsplattformen eingesetzt wird. Die Sicherheitslücke wurde […]

Eine kritische Avada Sicherheitslücke ermöglicht es Angreifern, unter bestimmten Voraussetzungen ohne Anmeldung unautorisierte WordPress-Aktionen auszuführen. Die Schwachstelle wird als CVE-2026-97670 geführt und betrifft Avada Builder bis einschließlich Version 3.16.1. Die Sicherheitslücke hat einen CVSS-3.1-Score von 9,1 und wird als kritisch eingestuft. Eine erfolgreiche Ausnutzung kann unter anderem zur dauerhaften Löschung bestimmter WordPress-Inhalte und zur Beeinträchtigung […]

Eine neue Microsoft Exchange Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, seine Berechtigungen innerhalb einer On-Premises-Exchange-Umgebung zu erhöhen. Die Schwachstelle wird als CVE-2026-96940 geführt und hat einen CVSS-Score von 8,8 High. Das niederländische National Cyber Security Centre (NCSC) hat am 6. Oktober 2026 eine Sicherheitswarnung veröffentlicht und empfiehlt Betreibern von Microsoft Exchange Server, die verfügbaren Sicherheitsupdates […]

Eine neue Kirki Sicherheitslücke ermöglicht unter bestimmten Voraussetzungen Stored Cross-Site Scripting (XSS), ohne dass ein Angreifer bereits über ein WordPress-Benutzerkonto verfügen muss. Die Schwachstelle wird als CVE-2026-102173 geführt und hat einen CVSS-Score von 7,2 High. Kirki wird laut WordPress.org auf mehr als 500.000 WordPress-Installationen aktiv eingesetzt. Betroffen sind Kirki-Versionen bis einschließlich 6.3.1. Die Sicherheitskorrektur ist […]

Eine kritische Payload CMS SQL-Injection ermöglicht es Angreifern unter bestimmten Bedingungen, Datenbankabfragen ohne ein bereits vorhandenes Benutzerkonto zu manipulieren. Die Schwachstelle wird als CVE-2026-105845 geführt und hat einen CVSS-Score von 9,8 Critical. Betroffen sind Payload CMS-Installationen mit PostgreSQL oder SQLite, wenn nicht vertrauenswürdige Benutzer lesbare Collections über dynamische Filter oder Joins abfragen können. Die Schwachstelle […]

Die OrdaSoft Joomla CCK Sicherheitslücke CVE-2026-102427 ermöglicht Remote Code Execution ohne Anmeldung, indem ein Angreifer eine manipulierte PHP-Datei auf den Webserver hochladen und anschließend ausführen kann. Zusätzlich enthält dieselbe Joomla-Erweiterung eine kritische unauthentifizierte SQL-Injection in den öffentlich erreichbaren Listenansichten. Beide Sicherheitsprobleme betreffen OrdaSoft Joomla CCK beziehungsweise OS CCK in Versionen vor 8.3.16. CVE-2026-102427 hat mit […]

Die GiveWP Sicherheitslücke CVE-2026-104405 ermöglicht Privilege Escalation, ohne dass ein Angreifer zuvor über ein WordPress-Benutzerkonto verfügen muss. Die Schwachstelle betrifft GiveWP-Versionen bis einschließlich 4.17.0 und hat einen CVSS-3.1-Score von 8,1 High. Die Sicherheitskorrektur ist ab GiveWP 4.18.0 enthalten. Inzwischen steht bereits Version 4.18.0.1 zur Verfügung. Vservs empfiehlt daher, direkt auf die aktuellste stabile GiveWP-Version zu […]

Eine Ninja Forms Sicherheitslücke und eine Schwachstelle in WPC Product Bundles for WooCommerce werden aktiv ausgenutzt, um WordPress-Websites zu kompromittieren. Sicherheitsforscher von Patchstack beobachten eine Angriffskampagne, bei der Stored Cross-Site Scripting genutzt wird, um über die aktive Sitzung eines WordPress-Administrators schädliche Plugins, Administrator-Konten und mehrere Backdoors zu installieren. Die Angriffe richten sich gegen CVE-2026-94504 in […]