WordPress-Plugin-Schwachstellen: 13 Plugins, darunter TranslatePress

Für 13 WordPress-Plugins wurden Schwachstellen veröffentlicht, die meisten davon am 7. November 2026. Die gravierendste ist eine Authentifizierungsumgehung im Terminbuchungs-Plugin LatePoint (CVSS 9.1), mit der nicht angemeldete Angreifer Kundenkonten übernehmen können. Das meistgenutzte betroffene Plugin ist TranslatePress mit 400.000 aktiven Installationen. Keine der Schwachstellen wird derzeit als aktiv ausgenutzt gemeldet.

LatePoint (100.000 aktive Installationen)

Das Plugin Appointment Booking Plugin – LatePoint ist für eine Authentifizierungsumgehung anfällig, mit der nicht angemeldete Angreifer das Passwort eines Kunden überschreiben und das Konto übernehmen können, einschließlich Buchungen, Bestellungen und personenbezogener Daten. Wenn die Option aktiviert ist, WordPress-Benutzer als Kunden zu verwenden, kann auch das verknüpfte WordPress-Konto übernommen werden. Alle Versionen bis einschließlich 5.7.6 sind betroffen (CVE-2026-118066, CVSS 9.1). Aktualisieren Sie auf die neueste Version. Steht für Ihre Website keine korrigierte Version zur Verfügung, deaktivieren und entfernen Sie das Plugin.

Amelia (90.000 aktive Installationen)

Amelia enthält zwei Schwachstellen in den Versionen bis einschließlich 9.9.1. Eine zeitbasierte SQL-Injection über den Parameter tag[] ermöglicht nicht angemeldeten Angreifern, sensible Informationen aus der Datenbank auszulesen (CVE-2026-116751, CVSS 7.5). Eine fehlende Berechtigungsprüfung erlaubt angemeldeten Benutzern mit der Kundenrolle von Amelia, die vollständige Teilnehmerliste mit personenbezogenen Daten für beliebige Veranstaltungen zu exportieren (CVE-2026-107616, CVSS 7.5). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

FunnelKit Payment Gateway for Stripe WooCommerce (20.000 aktive Installationen)

Eine unsichere direkte Objektreferenz erlaubt nicht angemeldeten Angreifern, durch Aufzählen von Bestellnummern die Rechnungsdaten jeder Shop-Bestellung auszulesen, darunter Name, E-Mail-Adresse, Telefonnummer und Straße. Alle Versionen bis einschließlich 1.15.0.2 sind betroffen (CVE-2026-109991, CVSS 7.5). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin.

wpForo Forum (20.000 aktive Installationen)

wpForo hat drei Schwachstellen. Eine zeitbasierte SQL-Injection über den Parameter href[locale] kann von nicht angemeldeten Besuchern in den Versionen bis einschließlich 3.2.2 ausgenutzt werden (CVE-2026-119155, CVSS 7.5). Außerdem kann ein angemeldeter Abonnent mit mindestens drei genehmigten Forenbeiträgen durch eine Rechteausweitung in denselben Versionen zum wpForo-Administrator werden (CVE-2026-119164, CVSS 7.5). Eine weitere SQL-Injection über den Parameter data betrifft die Versionen bis einschließlich 3.2.1, wenn bestimmte durchsuchbare Formularfelder konfiguriert sind (CVE-2026-95870, CVSS 7.5). Aktualisieren Sie auf die neueste Version.

TranslatePress (400.000 aktive Installationen)

Zwei gespeicherte Cross-Site-Scripting-Schwachstellen über Kommentare erlauben nicht angemeldeten Angreifern, Skripte in Seiten einzuschleusen, in manchen Fällen nachdem ein früherer Kommentar mit demselben Namen und derselben E-Mail-Adresse freigegeben wurde und eine zweite Sprache konfiguriert ist. Alle Versionen bis einschließlich 3.3.8 sind betroffen (CVE-2026-119167 und CVE-2026-120537, jeweils CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Unlimited Elements for Elementor (300.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle erlaubt nicht angemeldeten Angreifern, Skripte über den Inhalt eines von ihnen kontrollierten RSS-Feeds einzuschleusen, sofern ein Administrator das RSS-Feed-Widget auf diesen Feed eingerichtet hat. Alle Versionen bis einschließlich 2.0.26 sind betroffen (CVE-2026-116558, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Optimole (200.000 aktive Installationen)

Optimole enthält drei gespeicherte Cross-Site-Scripting-Schwachstellen, die nicht angemeldete Angreifer ausnutzen können: zwei über Kommentare und eine über einen REST-Endpunkt, dessen erforderliche Signatur auf öffentlichen Seiten offengelegt ist. CVE-2026-119070 betrifft die Versionen bis einschließlich 4.2.17, während CVE-2026-120677 und CVE-2026-120739 die Versionen bis einschließlich 4.2.18 betreffen (jeweils CVSS 7.2). Aktualisieren Sie auf die neueste Version.

iubenda (200.000 aktive Installationen)

Das Plugin iubenda All-in-one Compliance ist für gespeichertes Cross-Site-Scripting über Kommentare anfällig, das von nicht angemeldeten Angreifern ausgenutzt werden kann, nachdem ein erster Kommentar von ihnen freigegeben wurde. Die Versionen bis einschließlich 3.13.6 sind betroffen (CVE-2026-120540, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Download Manager (90.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle in den Registrierungsfeldern erlaubt nicht angemeldeten Angreifern, Skripte einzuschleusen, sofern die öffentliche Registrierung aktiviert ist, das Registrierungsformular des Plugins veröffentlicht ist und bestimmte Pakete die Vorlage Spotlight-Link verwenden. Alle Versionen bis einschließlich 7.5.9 sind betroffen (CVE-2026-119156, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

CTX Feed – Product Feed Manager for WooCommerce (90.000 aktive Installationen)

Eine Schwachstelle zur PHP-Code-Injection erlaubt angemeldeten Benutzern mit der Berechtigung Shop-Manager oder höher, beliebigen PHP-Code auf dem Server auszuführen, was zur vollständigen Übernahme der Website führen kann. Die betreffende Option ist standardmäßig aktiviert. Alle Versionen bis einschließlich 8.0.26 sind betroffen (CVE-2026-87964, CVSS 7.2). Aktualisieren Sie auf die neueste Version. Ist kein Update verfügbar, deaktivieren und entfernen Sie das Plugin. Prüfen Sie außerdem, welche Konten die Rolle Shop-Manager haben.

JetFormBuilder (80.000 aktive Installationen)

Zwei gespeicherte Cross-Site-Scripting-Schwachstellen erlauben nicht angemeldeten Angreifern, über Formularübermittlungen bei Formularen mit bestimmten Konfigurationen Skripte einzuschleusen. CVE-2026-111317 betrifft die Versionen bis einschließlich 3.6.7, CVE-2026-119183 die Versionen bis einschließlich 3.6.8 (jeweils CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Strong Testimonials (80.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle über den Parameter star_rating erlaubt nicht angemeldeten Angreifern, Skripte einzuschleusen, die ausgeführt werden, wenn ein Administrator eine ausstehende Referenz in der Vorschau öffnet. Alle Versionen bis einschließlich 3.3.16 sind betroffen (CVE-2026-115811, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

Form Maker by 10Web (30.000 aktive Installationen)

Eine gespeicherte Cross-Site-Scripting-Schwachstelle in verborgenen Formularfeldern erlaubt nicht angemeldeten Angreifern, Skripte einzuschleusen, die ausgeführt werden, wenn ein Administrator den Kartenlink einer Übermittlung öffnet. Alle Versionen bis einschließlich 1.15.50 sind betroffen (CVE-2026-120512, CVSS 7.2). Aktualisieren Sie auf die neueste Version.

So prüfen Sie Ihre Websites

Öffnen Sie auf jeder Website im WordPress-Dashboard die Seite Plugins und suchen Sie nach den oben genannten Plugins und deren installierten Versionen. Mit WP-CLI zeigt der Befehl "wp plugin list" die installierten Plugins, ihre Versionen und verfügbare Updates an. Mit "wp plugin update " aktualisieren Sie ein einzelnes Plugin. Wenn keine korrigierte Version angeboten wird, deaktivieren und entfernen Sie das Plugin, bis der Entwickler ein Update veröffentlicht.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-107616
• https://nvd.nist.gov/vuln/detail/CVE-2026-109991