WordPress (WPScan) Seite 9

Das Tripzzy WordPress-Plugin vor Version 1.5.1 verzichtet auf Autorisierungsprüfungen und validiert die Kennung des zu löschenden Objekts nicht in einer AJAX-Aktion, die auch nicht authentifizierten Nutzern zugänglich ist. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Appointment Booking Calendar Plugin and Scheduling Plugin prüft vor Version 1.6.3 bei der Bestätigung einer Buchung nicht, ob der tatsächlich gezahlte Betrag dem serverseitig hinterlegten Preis entspricht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Das WordPress-Plugin FlxWoo prüft vor Version 3.1.1 beim Zahlungsdienstleister nicht, ob eine Checkout-Sitzung tatsächlich bezahlt wurde, bevor die zugehörige Bestellung als bezahlt markiert wird. Dadurch können nicht authentifizierte Angreifer Bestellungen ohne tatsächliche Zahlung als bezahlt kennzeichnen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Really Simple Security verhindert vor Version 9.8.1 nicht, dass eine nicht authentifizierte Anfrage die abgeschlossene E-Mail-Zwei-Faktor-Registrierung eines Kontos zurücksetzt. Laut Quelle kann ein Angreifer, der bereits über andere Zugangsdaten verfügt, dies ausnutzen, um den zweiten Faktor zu umgehen. CVSS-Basiswert: 7.5 (Hoch). Der Vektor (AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H) beschreibt eine remote ausnutzbare Lücke mit vollem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit.

Das WordPress-Plugin „SmartAIPress“ führt bis Version 1.2.0 bei einer seiner AJAX-Aktionen keine Berechtigungsprüfung durch und validiert eine vom Nutzer angegebene URL nicht, bevor diese serverseitig abgerufen wird. Dadurch können Nutzer die betroffene Aktion missbräuchlich auslösen. CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Zu einer empfohlenen Massnahme liegen in den Quelldaten keine Angaben vor.

Das WordPress-Plugin Online Scheduling and Appointment Booking System bereinigt und castet vor Version 27.8 einen benutzerseitig übergebenen Parameter aus unauthentifizierten Front-End-Buchungsanfragen nicht korrekt. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Plugin auf Version 27.8 oder neuer aktualisieren.

Das WordPress-Plugin User Registration & Membership prüft vor Version 5.2.8 beim Kauf einer Mitgliedschaft nicht die Berechtigung des Nutzers und validiert weder die Zahlungsmethode noch den übermittelten Plan. CVSS-Basiswert: 7.5 (Hoch); die Ausnutzung erfordert laut Vektor eine hohe Angriffskomplexität, aber keine Nutzerinteraktion, und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. Eine aktive Ausnutzung laut CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht dokumentiert; eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Das WordPress-Plugin User Profile Builder schränkt vor Version 4.0.1 seine Front-End-Datei-Upload-Funktion nicht ausreichend ein und gewährt dadurch nicht authentifizierten Besuchern Rechte, die eigentlich privilegierten Rollen vorbehalten sind. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Das WordPress-Plugin Praison AI SEO vor Version 5.0.7 führt auf mehreren seiner REST-API-Routen keine Autorisierungsprüfungen durch. Dadurch können nicht authentifizierte Benutzer unter anderem den Permalink beliebiger veröffentlichter Beiträge verändern. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf Version 5.0.7 oder neuer aktualisieren.

Das WordPress-Plugin Events Manager vor Version 7.3.7 verarbeitet laut Quelle auf Seiten mit aktiviertem No-User-Account Booking Mode die Buchungs-Registrierungsdaten nicht sicher: ein vom Bucher geliefertes Registrierungsfeld wird gespeichert und weiterverarbeitet. Die Schwachstelle ist laut Vektor über das Netzwerk ohne Rechte und ohne Nutzerinteraktion ausnutzbar und gefährdet die Vertraulichkeit. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ein Update auf Version 7.3.7 oder neuer sollte eingespielt werden.

WordPress Coding Standards ist ein Regelwerk (Sniffs) für PHP_CodeSniffer, das WordPress-Coding-Konventionen durchsetzt. Laut NVD ist von Version 0.14.1 bis 3.4.1 der Sniff WordPress.WP.EnqueuedResourceParameters betroffen. CVSS-Basiswert: 8.6 (Hoch). Eine EPSS-Kennzahl liegt für diesen Eintrag nicht vor.

Das WordPress-Plugin Sonaar Music 4.7 enthält eine Stored-Cross-Site-Scripting-Schwachstelle, die es nicht authentifizierten Angreifern erlaubt, über die Kommentarfunktion schädliche Skripte einzuschleusen. CVSS-Basiswert: 7.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Tablesome Table führt laut Quellbeschreibung vor Version 1.1.31 in einer seiner AJAX-Aktionen keine Authentifizierungs-, Berechtigungs- oder Nonce-Prüfung durch, wodurch nicht authentifizierte Nutzer neue veröffentlichte Inhalte anlegen können. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin CAFEHAUS API bis einschliesslich Version 1.0.0 prüft beim Aktualisieren von Benutzerpasswörtern weder Authentifizierung noch Autorisierung. Nicht authentifizierte Angreifer können dadurch das Passwort beliebiger Benutzerkonten setzen, einschliesslich privilegierter Konten. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren oder bis dahin deaktivieren.

Das WordPress-Plugin bpost-shipping-platform vor Version 3.2.3 bereinigt einen Parameter vor der Verwendung in einer SQL-Abfrage bei der Übermittlung von WooCommerce-Bestellungen nicht ausreichend, wodurch nicht authentifizierte Angreifer eine SQL-Injection durchführen können. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version 3.2.3 oder neuer.

Die WordPress-Plugins Modern Event Calendar Pro vor Version 7.34.0 und Modern Events Calendar Lite vor Version 7.34.0 bereinigen und maskieren einen Request-Parameter nicht, bevor er in einer SQL-Anweisung verwendet wird. Dadurch ist eine SQL-Injection möglich. CVSS-Basiswert: 8.6 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Version 7.34.0 oder neuer aktualisieren.

Das WordPress-Plugin Newsletters vor Version 4.15 verhindert nicht die Deserialisierung nicht vertrauenswürdiger Eingaben, die über ein öffentliches Formular gespeichert werden. Dadurch können nicht authentifizierte Angreifer ein PHP-Objekt einschleusen (PHP Object Injection). CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: das Plugin auf Version 4.15 oder höher aktualisieren.

Das WordPress-Plugin Product Addons and Product Options With Custom Fields vor Version 1.6.15 schützt einen Datei-Upload-Endpunkt nicht und akzeptiert unauthentifiziert SVG-Dateien, die gespeichert und inline ausgeliefert werden. Dadurch lassen sich manipulierte Inhalte einschleusen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf Plugin-Version 1.6.15 oder neuer aktualisieren.

Das WordPress-Plugin Gutenverse News schränkt vor Version 3.3.3 das von ihm hinzugefügte zusätzliche HTML nicht auf den vorgesehenen Kontext innerhalb der von WordPress erlaubten Elemente ein und wendet stattdessen dieselbe grosszügige Liste auf jeden Sanitisierungskontext an. Weitere Details liegen in den Quelldaten nicht vor. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Free Builder for Elementor bereinigt vor Version 1.6.7 die übermittelten Werte von Kontaktformularfeldern nicht, bevor sie gespeichert und im Administrationsbereich ausgegeben werden. Nicht authentifizierte Angreifer können darüber Schadcode einschleusen (Stored Cross-Site-Scripting). CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version 1.6.7 oder neuer.

Das WordPress-Plugin Tag Groups vor Version 2.2.0 maskiert einen seiner AJAX-Parameter nicht korrekt, bevor es ihn im Antworttext zurückspiegelt. Dadurch ist ein Reflected-Cross-Site-Scripting möglich. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Search Analytics for WP ist bis einschliesslich Version 1.4.16 anfällig für Cross-Site Request Forgery. Ursache ist eine fehlende oder fehlerhafte Nonce-Validierung. CVSS-Basiswert: 8.1 (Hoch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Theme Lenxel WP führt bis Version 1.0.31 laut NVD bei seiner Passwort-Reset-Funktion keine Autorisierungs- oder Eigentümerprüfung durch, sondern validiert lediglich ein CSRF-Nonce. Dadurch können nicht authentifizierte Angreifer laut NVD-Beschreibung Passwörter zurücksetzen; die Quellbeschreibung bricht bei weiteren Details ab. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Product Feed PRO for WooCommerce von AdTribes ist in den Versionen 13.4.6 bis 13.5.2.1 für Cross-Site Request Forgery (CSRF) anfällig. Ursache ist eine fehlende beziehungsweise unzureichende Absicherung gegen gefälschte Anfragen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Das WordPress-Plugin Dynamic Pricing With Discount Rules for WooCommerce prüft in Versionen vor 5.0.0 bei einer seiner AJAX-Aktionen weder Nonce noch Benutzerrechte. Zusätzlich wird unbereinigte Benutzereingabe in der Antwort zurückgegeben. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Transbank Webpay vor Version 1.14.0 bereinigt und maskiert die zur Anzeige gebrachten Logs nicht ausreichend. Dadurch können nicht authentifizierte Angreifer laut NVD dauerhaft gespeicherte Cross-Site-Scripting-Angriffe (Stored XSS) gegen angemeldete Administratoren ausführen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf Version 1.14.0 oder neuer aktualisieren.

Das WordPress-Plugin SlimStat Analytics vor Version 5.5.0 maskiert einen von Besuchern kontrollierten Geolocation-Wert nicht, bevor es ihn in den Analytics-Berichten des Administrationsbereichs ausgibt. Dadurch können nicht authentifizierte Besucher Skriptcode einschleusen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin WPO365 | Login ist in Versionen bis einschliesslich 43.2 anfällig für Cross-Site Request Forgery. Ursache ist eine fehlerhafte Absicherung in der Hilfsfunktion Ajax_Service::verify_ajax_request(), die ihre Anfrageprüfung nicht korrekt durchsetzt. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine Version oberhalb von 43.2, sobald verfügbar.

Das WordPress-Plugin Database for Contact Form 7, WPforms, Elementor forms sanitisiert und escaped vor Version 1.5.3 einen Parameter nicht ordnungsgemäss, bevor dieser in einer Admin-Seite reflektiert wird. Dadurch entsteht eine Reflected-Cross-Site-Scripting-Schwachstelle. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Betreiber der betroffenen Plugin-Version sollten auf Version 1.5.3 oder neuer aktualisieren.

Das WordPress-Plugin LearnPress vor Version 4.4.1 maskiert einen Suchparameter nicht, bevor es ihn in ein HTML-Attribut zurückspiegelt. Dadurch entsteht ein reflektiertes Cross-Site-Scripting, das im Browser des Opfers ausgeführt wird. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf Version 4.4.1 oder neuer aktualisieren.

Das WordPress-Plugin ProfileGrid schränkt vor Version 5.9.9.8 bei der Front-End-Registrierung nicht ein, in welche Gruppe sich ein anonymer Besucher einträgt. Dadurch können sich nicht authentifizierte Nutzer selbst registrieren, ohne dass die Gruppenzuordnung kontrolliert wird. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin WP Travel Engine führt vor Version 6.8.2 bei einer AJAX-Aktion, die eine Plugin-Option aktualisiert, keine Berechtigungsprüfung durch. Dadurch können nicht authentifizierte Angreifer die betroffene Option ändern. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Plugin auf Version 6.8.2 oder neuer aktualisieren.

Das WordPress-Plugin Eventin autorisiert vor Version 4.1.16 die Erstellung von Bestellungen nicht ordnungsgemäss und akzeptiert einen vom Angreifer vorgegebenen Bestellstatus. Dadurch können nicht authentifizierte Angreifer Bestellungen anlegen, die als bezahlt markiert sind. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf Eventin Version 4.1.16 oder neuer einspielen.

Das WordPress-Plugin miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) bindet den Einmalcode der optionalen E-Mail-Verifizierung (Profile Completion) vor Version 7.8.0 nicht an das jeweilige Nutzerkonto. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf Version 7.8.0 oder neuer einspielen.

Das WordPress-Plugin „Customer Switching“ vor Version 2.1.3 bindet eine aktive Nutzerwechsel-Sitzung nicht sicher an den auslösenden Operator. Dadurch kann ein niedriger privilegiertes Konto, zu dem ein Operator wechselt, die Sitzung übernehmen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Update auf Version 2.1.3 oder neuer einspielen.

Das WordPress-Plugin Social Login, Passkeys, Magic Link & Email OTP vor Version 1.4.1 erzwingt bei der passwortlosen Verifizierung des per E-Mail versandten Einmalpassworts (OTP) weder eine Ratenbegrenzung noch eine wirksame Sperre nach mehreren Fehlversuchen. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Aktualisierung auf Version 1.4.1 oder neuer.

Das WordPress-Plugin YOP Poll ist in allen Versionen bis einschliesslich 7.0.10 durch einen Origin Validation Error verwundbar. Ursache ist, dass das Plugin einen wp_rest-Nonce an window.opener überträgt, wie aus der Quellbeschreibung hervorgeht. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin tourmaster führt vor Version 5.4.8 beim Speichern eines benutzerdefinierten Filter-Labels aus einem Request-Parameter keine Nonce-Prüfung durch und maskiert das Label beim späteren Ausgeben nicht. Details zur genauen Ausgabe-Stelle sind in den Quelldaten abgeschnitten. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet. Empfohlene Massnahme: Update auf tourmaster 5.4.8 oder neuer einspielen.

Laut NVD prüft das WordPress-Plugin WOLF vor Version 1.1.0 bei einer seiner AJAX-Aktionen weder Nonce noch Berechtigung, wodurch ein nicht authentifizierter Angreifer einen eingeloggten Administrator per Cross-Site-Request-Forgery dazu verleiten kann, eine schreibende Aktion auszuführen. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin WP Captcha PRO (die Premium-Version des Plugins Advanced Google reCAPTCHA, beide teilen denselben Slug) ist über eine Authentifizierungsumgehung angreifbar. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: Das Plugin auf eine bereinigte Version aktualisieren.

Das WordPress-Plugin Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress ist anfällig für die Offenlegung sensibler Informationen. Die Quellbeschreibung liegt nur gekürzt vor, betroffene Versionen sind daraus nicht ersichtlich. CVSS-Basiswert: 8.8 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Installationen sollten geprüft und auf die vom Hersteller bereitgestellte Version aktualisiert werden.

Das Plugin Groundhogg (CRM, Newsletter und Marketing-Automation) für WordPress ist laut NVD in allen Versionen bis einschliesslich 4.9 anfällig für eine Rechteausweitung durch Contact Identity Rebinding. CVSS-Basiswert: 8.8 (Hoch). Eine Aufnahme in die CISA-KEV-Liste liegt nicht vor, ein EPSS-Wert ist nicht verfügbar. Betreiber sollten prüfen, ob das Plugin in Version 4.9 oder älter im Einsatz ist.

Das WordPress-Plugin Subscriptions for WooCommerce weist bis einschliesslich Version 2.0.0 eine fehlende Autorisierungsprüfung auf. Betroffen sind alle Versionen bis zu dieser Fassung. CVSS-Basiswert: 7.2 (Hoch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Das WordPress-Plugin PickPlugins Question Answer ist in Versionen bis einschliesslich 1.2.73 laut NVD durch unzureichende Bereinigung des Parameters 'id' anfällig für SQL-Injection. Der CVSS-Vektor beschreibt einen Angriff aus der Ferne ohne Benutzerinteraktion und ohne vorherige Rechte, der ausschliesslich die Vertraulichkeit beeinträchtigt. CVSS-Basiswert: 7.5 (Hoch).

Das WordPress-Plugin „Eazy Plugin Manager – Powerful Plugin Management Solution für WordPress“ ist in allen Versionen bis einschliesslich 4.4.1 anfällig für eine Rechteausweitung (Privilege Escalation). CVSS-Basiswert: 8.8 (Hoch). Betroffen sind laut den Quellen WordPress (Patchstack), WordPress (Wordfence) und WordPress (WPScan). Eine Ausnutzungswahrscheinlichkeit (EPSS) liegt nicht vor.

Das WordPress-Plugin "Web Directory Free" ist bis einschliesslich Version 1.7.13 anfällig für eine generische SQL-Injection über den Parameter "levels". Ursache ist laut NVD eine unzureichende Maskierung nutzerseitiger Eingaben, bevor diese in eine SQL-Abfrage gelangen. CVSS-Basiswert: 7.5 (Hoch).

Das WordPress-Plugin StoreGrowth: Smart Sales Booster for WooCommerce ist laut NVD anfällig für Stored Cross-Site Scripting über den Parameter 'message_popup'. Ein Angreifer kann darüber schädliches Skript-Markup einschleusen, das beim Aufruf der betroffenen Seite im Browser anderer Nutzer ausgeführt wird. CVSS-Basiswert: 7.2 (Hoch).

Das WordPress-Plugin Uncanny Automator – Easy Automation, Integration, Webhooks & Workflow Builder ist bis einschliesslich Version 7.3.2 über einen automator_-Handler von einer fehlenden Autorisierungsprüfung (Missing Authorization) betroffen. Dadurch können Funktionen des Plugins ohne ausreichende Berechtigungsprüfung angesprochen werden. Der Angriff erfolgt laut Quelle über das Netzwerk ohne Benutzerinteraktion (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N). CVSS-Basiswert: 7.5 (Hoch).

Das WordPress-Plugin MainWP Child verifiziert in Versionen vor 6.1.2 die Identität des Anfragenden im Request-Handler für die Site-Registrierung nicht, wenn für das Zielkonto die Passwort-Authentifizierung deaktiviert wurde. Dadurch kann die Registrierung ohne ausreichenden Identitätsnachweis erfolgen. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: das Plugin auf Version 6.1.2 oder neuer aktualisieren.

Das WordPress-Plugin Clover Payment Gateway by Zaytech für WooCommerce prüft vor Version 1.3.6 nicht, ob ein genehmigter externer Zahlungsdatensatz tatsächlich zu der WooCommerce-Bestellung gehört, die gerade abgeschlossen wird. Bestellungen können dadurch mit einer nicht zugehörigen Zahlung abgeschlossen werden. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: das Plugin auf Version 1.3.6 oder neuer aktualisieren.