WordPress-Plugin-Schwachstellen: 19 Plugins, darunter W3 Total Cache

Zwischen dem 28. und 31. Oktober 2026 wurden 20 Schwachstellen in 19 WordPress-Plugins bekannt gemacht. Die schwerwiegendste ist eine Umgehung der Authentifizierung in Uncanny Toolkit for LearnDash (CVSS 9.8). Die am weitesten verbreiteten betroffenen Plugins sind W3 Total Cache (900.000 aktive Installationen), Ninja Forms (500.000) und Kirki (400.000). Für keine der Schwachstellen wird berichtet, dass sie aktiv ausgenutzt wird.

Uncanny Toolkit for LearnDash (20.000 aktive Installationen)

Eine Umgehung der Authentifizierung im Login-Handler ermöglicht es nicht authentifizierten Angreifern, die die Zugangsdaten eines Kontos bereits kennen, sich in nicht verifizierte oder vom Administrator gesperrte Konten einzuloggen. Dadurch werden die Kontrollen des Plugins zur Kontofreigabe und Kontosperrung umgangen. Versionen bis einschließlich 3.8.2 sind betroffen (CVE-2026-119096, CVSS 9.8). Aktualisieren Sie auf die neueste Version.

Popup Builder (200.000 aktive Installationen)

Eine fehlende Berechtigungsprüfung erlaubt es nicht authentifizierten Angreifern, mit einer einzigen GET-Anfrage alle veröffentlichten Popups der Website in den Papierkorb zu verschieben. Versionen bis einschließlich 4.4.5 sind betroffen (CVE-2026-89270, CVSS 9.1). Aktualisieren Sie auf die neueste Version.

WP Booking System – Booking Calendar (10.000 aktive Installationen)

Eine fehlende Fähigkeitsprüfung erlaubt angemeldeten Benutzern mit Subscriber-Zugriff oder höher, Kalendernotizen zu löschen, die zu beliebigen Kalendern gehören. Versionen bis einschließlich 2.1.0.5 sind betroffen (CVE-2026-116557, CVSS 9.1). Aktualisieren Sie auf die neueste Version.

NextGEN Gallery (300.000 aktive Installationen)

Eine Schwachstelle zur Remote-Code-Ausführung in der Funktion render_image erlaubt authentifizierten Benutzern, die mindestens eine NextGEN-Galerie besitzen, Code auf dem Server auszuführen. Ein Subscriber, dem jemals die Fähigkeit 'NextGEN Manage gallery' gewährt wurde, behält diesen Zugriff auch nach dem Entzug der Fähigkeit. Versionen bis einschließlich 4.4.1 sind betroffen (CVE-2026-76010, CVSS 8.8). Aktualisieren Sie auf die neueste Version und prüfen Sie, welche Benutzer Galerien besitzen.

User Frontend (20.000 aktive Installationen)

Eine Schwachstelle zur Rechteausweitung erlaubt angemeldeten Benutzern mit Subscriber-Zugriff oder höher, ein Registrierungsformular für die Rolle Editor in einem veröffentlichten Beitrag zu platzieren. Anschließend kann jeder Besucher das Formular nutzen, um ein Editor-Konto zu erstellen. Versionen bis einschließlich 4.3.13 sind betroffen (CVE-2026-120070, CVSS 8.8). Aktualisieren Sie auf die neueste Version und prüfen Sie auf unerwartete Editor-Konten.

Wp Social Login and Register Social Counter (70.000 aktive Installationen)

Eine Umgehung der Authentifizierung im Social Login erlaubt nicht authentifizierten Angreifern, sich als beliebiger bestehender Benutzer anzumelden, einschließlich Administratoren. Der Angreifer benötigt ein Konto mit einer konfigurierten Facebook- oder Twitter-Anmeldung, dessen E-Mail-Adresse mit der WordPress-E-Mail-Adresse des Ziels übereinstimmt. Versionen bis einschließlich 3.2.2 sind betroffen (CVE-2026-103898, CVSS 8.1). Aktualisieren Sie auf die neueste Version.

Kirki (400.000 aktive Installationen)

Eine fehlerhafte Zugriffskontrolle in der REST-API der Seiten erlaubt Benutzern mit Kirki-Bearbeitungsrechten, die die Rolle Editor standardmäßig besitzt, Titel, Slug und Veröffentlichungsstatus beliebiger Beiträge zu ändern, auch von Beiträgen und WooCommerce-Produkten, die ihnen nicht gehören. Dadurch können private oder Entwurfsinhalte offengelegt oder veröffentlichte Inhalte entfernt werden. Versionen vor 6.4.1 sind betroffen (CVE-2026-112347, CVSS 7.6). Aktualisieren Sie auf Version 6.4.1 oder höher.

Email Templates Customizer and Designer for WordPress and WooCommerce (20.000 aktive Installationen)

Eine Umgehung der Autorisierung erlaubt nicht authentifizierten Angreifern, Rechnungsname, Adresse, Telefonnummer und E-Mail-Adresse von WooCommerce-Kunden auszulesen, indem sie Bestellnummern durchprobieren. Versionen bis einschließlich 1.5.14 sind betroffen (CVE-2026-107630, CVSS 7.5). Aktualisieren Sie auf die neueste Version.

FunnelKit Automations (20.000 aktive Installationen)

Eine zeitbasierte SQL-Injection über den Parameter 'bwfan_cart_id' erlaubt nicht authentifizierten Angreifern, sensible Informationen aus der Datenbank auszulesen. Die Nutzlast wird während eines Gast-Checkouts übermittelt und später in einem geplanten Auftrag ausgeführt. Versionen bis einschließlich 3.8.5.2 sind betroffen (CVE-2026-119163, CVSS 7.5). Aktualisieren Sie auf die neueste Version.

Mail logging & Catcher (20.000 aktive Installationen)

Eine Offenlegung sensibler Informationen erlaubt angemeldeten Benutzern mit Subscriber-Zugriff oder höher, Passwort-Zurücksetzschlüssel von Administratoren aus den gespeicherten E-Mail-Protokollen auszulesen und so ein Administrator-Konto zu übernehmen. Voraussetzung ist, dass die Einstellung default_view_role auf eine Fähigkeit geändert wurde, die Benutzer mit niedrigen Rechten besitzen; der Standard beschränkt den Zugriff auf Protokolle auf Administratoren. Versionen bis einschließlich 2.2.0 sind betroffen (CVE-2026-120040, CVSS 7.5). Aktualisieren Sie auf die neueste Version und prüfen Sie diese Einstellung.

W3 Total Cache (900.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über den Parameter 'comment' kann unter bestimmten Bedingungen von nicht authentifizierten Angreifern ausgenutzt werden: eine zuvor aktive Pro-Lizenz mit REST-Caching, Disk-Enhanced-Seiten-Caching und eine zuvor freigegebene Kommentatoridentität. Versionen bis einschließlich 2.10.7 sind betroffen (CVE-2026-111254, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Ninja Forms (500.000 aktive Installationen)

Zwei Schwachstellen betreffen dieses Plugin. Eine gespeicherte Cross-Site-Scripting-Schwachstelle über den Parameter 'formData.extra' kann von nicht authentifizierten Angreifern mit einer einzigen Anfrage ausgenutzt werden; Versionen bis einschließlich 3.15.5 sind betroffen (CVE-2026-109997, CVSS 7.2). Unvollständige Validierung von Listenfeldern erlaubt nicht authentifizierten Angreifern, CSV-Formel-Nutzlasten einzuschleusen, die wirksam werden, wenn ein Administrator exportierte Einsendungen öffnet; Versionen vor 3.15.4 sind betroffen (CVE-2026-67187, CVSS 7.1). Aktualisieren Sie auf die neueste Version.

PDF Invoices & Packing Slips for WooCommerce (300.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über Rechnungsadressfelder und die Kundennotiz kann von nicht authentifizierten Angreifern ausgenutzt werden. Es handelt sich um eine unvollständige Korrektur von CVE-2026-92244. Versionen bis einschließlich 5.16.4 sind betroffen (CVE-2026-107750, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Relevanssi – A Better Search (100.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über Kommentare kann von nicht authentifizierten Angreifern ausgenutzt werden, wenn sowohl die Indizierung als auch die Hervorhebung von Kommentaren aktiviert sind. Versionen bis einschließlich 4.28.5 sind betroffen (CVE-2026-116522, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

SureCart (80.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über Kommentare kann von nicht authentifizierten Angreifern ausgenutzt werden, wenn der Kommentar freigegeben ist und auf einer Seite erscheint, die die Komponenten von SureCart lädt, etwa einer Seite mit einem Buy-Button-Block. Versionen bis einschließlich 4.9.4 sind betroffen (CVE-2026-107653, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

PPWP – Password Protect Pages (30.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über Kommentare und Shortcode-Attribute kann von nicht authentifizierten Angreifern ausgenutzt werden, deren Kommentar zuvor bereits freigegeben wurde. Versionen bis einschließlich 1.9.26 sind betroffen (CVE-2026-116520, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Shield Security (30.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über die Request-URI erlaubt nicht authentifizierten Angreifern, Skripte in die Ansicht des Traffic-Protokolls einzuschleusen. Versionen bis einschließlich 22.3.2 sind betroffen (CVE-2026-118057, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

ThirstyAffiliates (30.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über Kommentare kann von nicht authentifizierten Angreifern auf Websites mit einem Block-Theme ausgenutzt werden, wenn der Angreifer zuvor bereits einen Kommentar freigegeben bekommen hat. Versionen bis einschließlich 3.12.1 sind betroffen (CVE-2026-119089, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Meow Lightbox (10.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle kann von nicht authentifizierten Angreifern ausgenutzt werden, wenn Output Buffering, die HtmlDomParser-Engine und Aggressive Resolve aktiviert sind und die Website gespeichertes HTML akzeptiert, etwa anonyme bbPress-Antworten. Versionen bis einschließlich 5.6.4 sind betroffen (CVE-2026-109234, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

So prüfen Sie Ihre Websites

Öffnen Sie im WordPress-Dashboard jeder Website den Punkt Plugins und vergleichen Sie die installierten Versionen mit den oben genannten betroffenen Versionen. Mit WP-CLI führen Sie wp plugin list aus, um installierte Plugins, deren Versionen und verfügbare Updates anzuzeigen, und aktualisieren anschließend mit wp plugin update <plugin-slug>. Wenn für ein von Ihnen genutztes Plugin kein Update verfügbar ist, deaktivieren und entfernen Sie es, bis eine korrigierte Version veröffentlicht wird.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-103898
• https://nvd.nist.gov/vuln/detail/CVE-2026-107630