https://feed.xonatec.ch/produkte/php Priorisierte Schwachstellen-Reports für PHP. Kostenlos & offen, stündlich aktualisiert. de Mon, 01 Jun 2026 00:00:00 GMT xonatec TI-Feed RSS Generator https://feed.xonatec.ch/reports/cve-2012-1823 https://feed.xonatec.ch/reports/cve-2012-1823 Mon, 01 Jun 2026 00:00:00 GMT In PHP-CGI wurde eine Schwachstelle in der Verarbeitung von Query-String-Parametern gefunden, die zur Codeausführung genutzt werden kann. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %. Severity: Aktiv ausgenutzt · EPSS: 100.0% · aktiv ausgenutzt (KEV) Betroffene Produkte: php Aktiv ausgenutztKEVPHP https://feed.xonatec.ch/reports/cve-2024-4577 https://feed.xonatec.ch/reports/cve-2024-4577 Tue, 14 Jul 2026 00:00:00 GMT In PHP-CGI besteht eine OS-Command-Injection-Schwachstelle, die Angreifern die Ausführung beliebiger Betriebssystembefehle ermöglicht. Wird laut CISA KEV aktiv ausgenutzt und wurde dort am 2024-06-12 aufgenommen. Ausnutzungswahrscheinlichkeit (EPSS): 100.0 %. Empfohlene Massnahme: PHP gemäss PHP-Changelog auf eine korrigierte Version aktualisieren. Severity: Aktiv ausgenutzt · EPSS: 100.0% · aktiv ausgenutzt (KEV) Betroffene Produkte: php Aktiv ausgenutztKEVPHP https://feed.xonatec.ch/reports/cve-2016-10033 https://feed.xonatec.ch/reports/cve-2016-10033 Wed, 03 Jun 2026 00:00:00 GMT In PHPMailer wurde eine Command-Injection-Schwachstelle entdeckt, die von Angreifern zur Ausführung beliebiger Befehle missbraucht werden kann. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 99.7 %. Severity: Aktiv ausgenutzt · EPSS: 99.7% · aktiv ausgenutzt (KEV) Betroffene Produkte: synology, php Aktiv ausgenutztKEVSynologyPHP https://feed.xonatec.ch/reports/cve-2019-11043 https://feed.xonatec.ch/reports/cve-2019-11043 Tue, 14 Jul 2026 00:00:00 GMT Im PHP FastCGI Process Manager (FPM) besteht eine Buffer-Overflow-Schwachstelle. Betroffen sind laut Quellenlage Produkte von Synology und PHP; Synology führt die Lücke im Advisory Synology-SA-19:36 (PHP). Wird laut CISA KEV aktiv ausgenutzt (aufgenommen am 2022-03-25). Ausnutzungswahrscheinlichkeit (EPSS): 99.5 %. Empfohlene Massnahme: die vom Hersteller bereitgestellten PHP-Updates gemäss Advisory einspielen. Severity: Aktiv ausgenutzt · EPSS: 99.5% · aktiv ausgenutzt (KEV) Betroffene Produkte: synology, php Aktiv ausgenutztKEVSynologyPHP https://feed.xonatec.ch/reports/cve-2019-16759 https://feed.xonatec.ch/reports/cve-2019-16759 Wed, 03 Jun 2026 00:00:00 GMT In vBulletin besteht eine Schwachstelle zur Remote-Code-Ausführung über ein PHP-Modul. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 94.4 %. Severity: Aktiv ausgenutzt · EPSS: 94.4% · aktiv ausgenutzt (KEV) Betroffene Produkte: php Aktiv ausgenutztKEVPHP https://feed.xonatec.ch/reports/cve-2023-36845 https://feed.xonatec.ch/reports/cve-2023-36845 Wed, 03 Jun 2026 00:00:00 GMT In Juniper Junos OS auf EX-Series- und SRX-Series-Geräten wurde eine Schwachstelle zur Manipulation externer PHP-Variablen gemeldet. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 94.4 %. Severity: Aktiv ausgenutzt · EPSS: 94.4% · aktiv ausgenutzt (KEV) Betroffene Produkte: juniper, php Aktiv ausgenutztKEVJuniperPHP https://feed.xonatec.ch/reports/cve-2023-36844 https://feed.xonatec.ch/reports/cve-2023-36844 Wed, 03 Jun 2026 00:00:00 GMT In Juniper Junos OS auf EX-Series-Geräten wurde eine Schwachstelle zur Manipulation externer PHP-Variablen gemeldet. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 94.2 %. Severity: Aktiv ausgenutzt · EPSS: 94.2% · aktiv ausgenutzt (KEV) Betroffene Produkte: juniper, php Aktiv ausgenutztKEVJuniperPHP https://feed.xonatec.ch/reports/cve-2020-17496 https://feed.xonatec.ch/reports/cve-2020-17496 Wed, 03 Jun 2026 00:00:00 GMT Im vBulletin PHP-Modul besteht eine kritische Schwachstelle zur Remote Code Execution. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 94.2 %. Severity: Aktiv ausgenutzt · EPSS: 94.2% · aktiv ausgenutzt (KEV) Betroffene Produkte: php Aktiv ausgenutztKEVPHP https://feed.xonatec.ch/reports/cve-2025-68645 https://feed.xonatec.ch/reports/cve-2025-68645 Wed, 03 Jun 2026 00:00:00 GMT In der Synacor Zimbra Collaboration Suite (ZCS) besteht eine PHP Remote File Inclusion-Schwachstelle, die das Einschleusen und Ausführen von Remote-PHP-Dateien ermöglicht. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 31.8 %. Severity: Aktiv ausgenutzt · EPSS: 31.8% · aktiv ausgenutzt (KEV) Betroffene Produkte: zimbra, php Aktiv ausgenutztKEVSynacor / ZimbraPHP https://feed.xonatec.ch/reports/cve-2026-48907 https://feed.xonatec.ch/reports/cve-2026-48907 Tue, 14 Jul 2026 00:00:00 GMT Eine Schwachstelle in der JCE-Editor-Erweiterung für Joomla erlaubt das Anlegen neuer Editor-Profile für nicht authentifizierte Benutzer und ermöglicht darüber letztlich das Hochladen und Ausführen von PHP-Code. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Wird laut CISA KEV aktiv ausgenutzt. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Empfohlene Massnahme: die JCE-Editor-Erweiterung gemäß Herstellerangaben aktualisieren. Severity: Aktiv ausgenutzt · EPSS: 0.1% · aktiv ausgenutzt (KEV) Betroffene Produkte: joomla, php Aktiv ausgenutztKEVJoomlaPHP https://feed.xonatec.ch/reports/cve-2026-61498 https://feed.xonatec.ch/reports/cve-2026-61498 Tue, 14 Jul 2026 00:00:00 GMT Vitec Flamingo 4.12.2 enthält im Endpunkt admin/ajax/gen_graphs.php eine OS-Command-Injection, die ohne Authentifizierung ausgenutzt werden kann. Nicht authentifizierte Angreifer können darüber aus der Ferne beliebige Befehle ausführen. Der Angriff erfolgt über das Netzwerk ohne Rechte und ohne Benutzerinteraktion (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Severity: Kritisch · CVSS: 9.8 · EPSS: 2.2% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2024-58348 https://feed.xonatec.ch/reports/cve-2024-58348 Tue, 14 Jul 2026 00:00:00 GMT Das WordPress-Plugin Background Image Cropper in Version 1.2 enthält eine Schwachstelle zur Remote Code Execution: Nicht authentifizierte Angreifer können über den Endpunkt ups.php beliebige Dateien hochladen. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.8% Betroffene Produkte: wordpress-patchstack, wordpress-wordfence, wordpress-wpscan, php KritischWordPress (Patchstack)WordPress (Wordfence)WordPress (WPScan)PHP https://feed.xonatec.ch/reports/cve-2026-38615 https://feed.xonatec.ch/reports/cve-2026-38615 Tue, 14 Jul 2026 00:00:00 GMT DedeCMS in der Version V5.7.118 ist in der Datei file_manage_control.php für Command Execution anfällig. Angreifer können darüber Befehle auf dem Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Die Quelldaten nennen keine fehlerbereinigte Version und keine konkrete Massnahme. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.8% Betroffene Produkte: n-able, php KritischN-ablePHP https://feed.xonatec.ch/reports/cve-2026-6722 https://feed.xonatec.ch/reports/cve-2026-6722 Wed, 03 Jun 2026 00:00:00 GMT In PHP 8.2.x vor 8.2.31, 8.3.x vor 8.3.31, 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 speichert der Objekt-Deduplizierungsmechanismus der SOAP-Erweiterung Zeiger auf PHP-Objekte in einem globalen Speicher, was zu Use-after-free-Schwachstellen führen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.7% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-54414 https://feed.xonatec.ch/reports/cve-2026-54414 Tue, 14 Jul 2026 00:00:00 GMT FileRise vor Version 3.16.0 ist im Upload-Endpunkt für geteilte Ordner (/api/folder/uploadToSharedFolder.php) für Path Traversal anfällig. Angreifer können dadurch beliebige Dateien schreiben und das Administratorkonto übernehmen. Der Angriff erfolgt über das Netzwerk ohne Rechte und ohne Benutzerinteraktion (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf FileRise 3.16.0 oder neuer aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.7% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-50869 https://feed.xonatec.ch/reports/cve-2026-50869 Tue, 14 Jul 2026 00:00:00 GMT In der Komponente api/plugin.php von Bludit v3.19.0 können Angreifer über eine speziell präparierte Anfrage einen Directory Traversal auslösen. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) weist die Schwachstelle als über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.7% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34107 https://feed.xonatec.ch/reports/cve-2026-34107 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in translate.php (Zeile 14) ohne Bereinigung an einen PHP-exec()-Aufruf. Angreifer können darüber eigene Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Herstellerhinweise beachten und den externen Zugriff auf die Anwendung einschränken. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.7% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34106 https://feed.xonatec.ch/reports/cve-2026-34106 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in subtitles.php (Zeile 19) ungefiltert an einen PHP-exec()-Aufruf. Angreifer können darüber Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: Den id-Parameter vor der Übergabe an exec() strikt validieren beziehungsweise maskieren; die Quelldaten nennen keine fehlerbereinigte Version. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.7% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2022-50972 https://feed.xonatec.ch/reports/cve-2022-50972 Tue, 14 Jul 2026 00:00:00 GMT WooCommerce 7.1.0 enthält laut Quellbeschreibung eine Schwachstelle zur Remote Code Execution: Angreifer können über den Parameter product-type Shell-Befehle einschleusen und dadurch beliebigen PHP-Code ausführen. Die Lücke ist ohne vorherige Authentifizierung über das Netzwerk erreichbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.6% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-38329 https://feed.xonatec.ch/reports/cve-2026-38329 Tue, 14 Jul 2026 00:00:00 GMT Bludit CMS vor Version 3.18.4 erlaubt Remote Code Execution über das API-Plugin. Der Endpunkt POST /api/files/{key} in bl-plugins/api/plugin.php führt laut Quelle keine Autorisierungsprüfung durch. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Aktualisierung auf Bludit CMS 3.18.4 oder neuer. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.6% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2023-54352 https://feed.xonatec.ch/reports/cve-2023-54352 Tue, 14 Jul 2026 00:00:00 GMT Im WordPress-Theme Seotheme besteht eine Schwachstelle zur Remote Code Execution: Nicht authentifizierte Angreifer können beliebigen PHP-Code ausführen, indem sie schädliche Dateien in das Theme-Verzeichnis hochladen. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Betroffene WordPress-Installationen sollten gemäss NVD-Eintrag geprüft werden. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.6% Betroffene Produkte: wordpress-patchstack, wordpress-wordfence, wordpress-wpscan, php KritischWordPress (Patchstack)WordPress (Wordfence)WordPress (WPScan)PHP https://feed.xonatec.ch/reports/cve-2026-54806 https://feed.xonatec.ch/reports/cve-2026-54806 Tue, 14 Jul 2026 00:00:00 GMT In WP Activity Log besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 5.6.3.1. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine Version neuer als 5.6.3.1 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.6% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-52778 https://feed.xonatec.ch/reports/cve-2026-52778 Tue, 14 Jul 2026 00:00:00 GMT YesWiki ist ein in PHP geschriebenes Wiki-System. In Versionen vor 4.6.6 besteht laut NVD eine Schwachstelle mit unsicherer Code-Ausführung im Formularfeld-Rechner des Bazar-Moduls (CalcField.php); die dort eingesetzte Bereinigung der Eingaben greift nicht ausreichend. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.6% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2017-20251 https://feed.xonatec.ch/reports/cve-2017-20251 Tue, 14 Jul 2026 00:00:00 GMT Das WordPress-Plugin Insert PHP enthält in Versionen vor 3.3.1 eine PHP-Code-Injection-Schwachstelle. Nicht authentifizierte Angreifer können durch Einschleusen präparierter Shortcodes beliebigen PHP-Code ausführen. CVSS-Basiswert: 9.8 (Kritisch) bei netzbasiertem Angriffsvektor ohne erforderliche Authentifizierung oder Nutzerinteraktion. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: das Plugin auf Version 3.3.1 oder neuer aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.6% Betroffene Produkte: wordpress-patchstack, wordpress-wordfence, wordpress-wpscan, php KritischWordPress (Patchstack)WordPress (Wordfence)WordPress (WPScan)PHP https://feed.xonatec.ch/reports/cve-2026-27429 https://feed.xonatec.ch/reports/cve-2026-27429 Tue, 14 Jul 2026 00:00:00 GMT In Nifty in Versionen bis einschliesslich 1.4.1 besteht eine unauthentifizierte PHP Object Injection. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.6% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34108 https://feed.xonatec.ch/reports/cve-2026-34108 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id laut Quellbeschreibung ohne Bereinigung an einen PHP-exec()-Aufruf in text.php (Zeile 15). Dadurch lassen sich Betriebssystembefehle einschleusen. Die Schwachstelle ist ohne Authentifizierung über das Netzwerk ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34110 https://feed.xonatec.ch/reports/cve-2026-34110 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter 'id' in complex_start.php (Zeile 14) ungefiltert an einen PHP-exec()-Aufruf. Angreifende können darüber eigene Betriebssystembefehle ausführen lassen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34111 https://feed.xonatec.ch/reports/cve-2026-34111 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in speechmac_text.php (Zeile 18) ohne Bereinigung an einen PHP-exec()-Aufruf, wodurch Befehle eingeschleust werden können. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Weitere Details sind dem NVD-Eintrag zu entnehmen. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34116 https://feed.xonatec.ch/reports/cve-2026-34116 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id laut Quellbeschreibung ohne Bereinigung an einen PHP-exec()-Aufruf in transcribe.php (Zeile 15). Angreifer können darüber Betriebssystembefehle einschleusen. Die Lücke ist ohne Authentifizierung über das Netzwerk erreichbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-12183 https://feed.xonatec.ch/reports/cve-2026-12183 Tue, 14 Jul 2026 00:00:00 GMT Das Tankstellen-Automatisierungssystem BUK TS-G von Nefteprodukttekhnika enthält in den Versionen 2.9.1 bis 2.10.2 unter Linux eine Schwachstelle bei der Authentifizierung (CWE-287) im Modul zur Systemkonfiguration. Betroffen ist laut Quelle ein AJAX-Endpunkt unterhalb von /php/. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: rockwell-automation, amazon-linux-alas, oracle-linux-elsa, rocky-linux, php KritischRockwell AutomationAmazon Linux (ALAS)Oracle Linux (ELSA)Rocky LinuxPHP https://feed.xonatec.ch/reports/cve-2026-34109 https://feed.xonatec.ch/reports/cve-2026-34109 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in speech.php ungefiltert an einen PHP-exec()-Aufruf. Angreifende können darüber beliebige Betriebssystembefehle auf dem Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34112 https://feed.xonatec.ch/reports/cve-2026-34112 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in speechmac.php (Zeile 18) ohne Bereinigung an einen PHP-exec()-Aufruf. Angreifer können dadurch eigene Befehle in die Kommandozeile einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34113 https://feed.xonatec.ch/reports/cve-2026-34113 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in speech_text.php (Zeile 18) ohne Filterung an einen PHP-exec()-Aufruf. Angreifer können dadurch laut Quelle eigene Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Laut CVSS-Vektor ist der Angriff ohne Authentifizierung und ohne Nutzerinteraktion über das Netz möglich. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34117 https://feed.xonatec.ch/reports/cve-2026-34117 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in text_to_subtitles.php ungefiltert an einen PHP-exec()-Aufruf. Angreifende können darüber beliebige Betriebssystembefehle auf dem Server ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34114 https://feed.xonatec.ch/reports/cve-2026-34114 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in translate_text.php (Zeile 18) ungefiltert an einen PHP-exec()-Aufruf. Angreifer können darüber Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Den id-Parameter vor der Übergabe an exec() strikt validieren beziehungsweise maskieren; die Quelldaten nennen keine fehlerbereinigte Version. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34115 https://feed.xonatec.ch/reports/cve-2026-34115 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in transcribe_amazon.php (Zeile 15) ohne Bereinigung an einen PHP-exec()-Aufruf. Angreifer können darüber eigene Betriebssystembefehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und den externen Zugriff auf die Anwendung einschränken. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php, amazon-linux-alas KritischPHPAmazon Linux (ALAS) https://feed.xonatec.ch/reports/cve-2026-56032 https://feed.xonatec.ch/reports/cve-2026-56032 Tue, 14 Jul 2026 00:00:00 GMT Die BuddyBoss Platform erlaubt in Versionen bis einschliesslich 3.0.4 eine PHP Object Injection, die bereits mit den Rechten der Subscriber-Rolle ausgelöst werden kann. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen netzwerkbasierten Angriff ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 3.0.4 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2025-60205 https://feed.xonatec.ch/reports/cve-2025-60205 Tue, 14 Jul 2026 00:00:00 GMT ThemeREX Addons in Versionen bis einschliesslich 2.36.1.1 ist von einer unauthentifizierten PHP Object Injection betroffen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Laut CVSS-Vektor ist die Schwachstelle ohne Rechte und ohne Nutzerinteraktion über das Netz ausnutzbar. Betroffene Installationen sollten auf eine Version oberhalb der genannten Versionsspanne aktualisiert werden. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2025-69122 https://feed.xonatec.ch/reports/cve-2025-69122 Tue, 14 Jul 2026 00:00:00 GMT In SeaFood Company bis einschliesslich Version 1.4 besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Laut CVSS-Vektor ist die Lücke über das Netz ohne Authentifizierung und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2025-69108 https://feed.xonatec.ch/reports/cve-2025-69108 Tue, 14 Jul 2026 00:00:00 GMT In Hot Coffee bis einschliesslich Version 1.7 besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-37106 https://feed.xonatec.ch/reports/cve-2026-37106 Tue, 14 Jul 2026 00:00:00 GMT In DokuWiki 2025-05-14b Librarian 56.2 kann ein entfernter Angreifer über die register-Funktion in inc/auth.php ein Konto anlegen. Der Hersteller bestreitet die Meldung laut Quelldaten mit dem Hinweis, dass es sich um das beabsichtigte Verhalten handelt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Angesichts der Herstellerbestreitung sollte vor Massnahmen die eigene Registrierungskonfiguration geprüft werden; Details im NVD-Eintrag. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-42380 https://feed.xonatec.ch/reports/cve-2026-42380 Tue, 14 Jul 2026 00:00:00 GMT In AI Lab besteht laut Quellbeschreibung eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Betroffen sind die Versionen vor 5.4.2. Die Lücke ist über das Netzwerk und ohne Benutzerinteraktion erreichbar und wirkt sich auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Auf Version 5.4.2 oder neuer aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49085 https://feed.xonatec.ch/reports/cve-2026-49085 Tue, 14 Jul 2026 00:00:00 GMT Das WordPress-Plugin WP Insightly for Contact Form 7, WPForms, Elementor, Formidable and Ninja Forms enthält in den Versionen bis einschliesslich 1.1.4 eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Der Angriff erfolgt über das Netzwerk ohne Rechte und ohne Benutzerinteraktion (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.4 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php, phoenix-contact KritischPHPPhoenix Contact https://feed.xonatec.ch/reports/cve-2026-49104 https://feed.xonatec.ch/reports/cve-2026-49104 Tue, 14 Jul 2026 00:00:00 GMT In der Erweiterung Integration for Keap/Infusionsoft and Contact Form 7, WPForms, Elementor, Formidable, Ninja Forms besteht eine unauthentifizierte PHP Object Injection. Betroffen sind laut NVD alle Versionen bis einschliesslich 1.2.1. CVSS-Basiswert: 9.8 (Kritisch); der Angriff ist über das Netzwerk ohne Zugangsdaten und ohne Benutzerinteraktion möglich. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.2.1 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php, phoenix-contact KritischPHPPhoenix Contact https://feed.xonatec.ch/reports/cve-2026-49105 https://feed.xonatec.ch/reports/cve-2026-49105 Tue, 14 Jul 2026 00:00:00 GMT Das WordPress-Plugin WP Zendesk for Contact Form 7, WPForms, Elementor, Formidable and Ninja Forms erlaubt in Versionen bis einschliesslich 1.1.4 eine PHP Object Injection ohne vorherige Authentifizierung. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen netzwerkbasierten Angriff ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.4 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php, phoenix-contact KritischPHPPhoenix Contact https://feed.xonatec.ch/reports/cve-2026-9691 https://feed.xonatec.ch/reports/cve-2026-9691 Tue, 14 Jul 2026 00:00:00 GMT In der Erweiterung „Integration for ActiveCampaign and Contact Form 7, WPForms, Elementor, Ninja Forms“ besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 1.1.1. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.1 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php, phoenix-contact KritischPHPPhoenix Contact https://feed.xonatec.ch/reports/cve-2026-37637 https://feed.xonatec.ch/reports/cve-2026-37637 Tue, 14 Jul 2026 00:00:00 GMT In Alexantr filemanager v1.0 erlaubt eine Schwachstelle in der Komponente filemanager.php einem entfernten Angreifer die Ausführung beliebigen Codes. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: die betroffene Komponente nicht öffentlich erreichbar betreiben und den Einsatz der Software prüfen; in den Quelldaten ist keine fehlerbereinigte Version genannt. Severity: Kritisch · CVSS: 9.1 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-6104 https://feed.xonatec.ch/reports/cve-2026-6104 Wed, 03 Jun 2026 00:00:00 GMT In PHP 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 wird ein in einem Encoding-Namen eingebettetes NUL-Byte, das an `mb_convert_encoding()` oder verwandte mbstring-Funktionen übergeben wird, nicht korrekt verarbeitet. Dies kann zu sicherheitsrelevanten Fehlern führen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Kritisch · CVSS: 9.1 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-52706 https://feed.xonatec.ch/reports/cve-2026-52706 Tue, 14 Jul 2026 00:00:00 GMT In JetEngine besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 3.8.10. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: auf eine Version neuer als 3.8.10 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34099 https://feed.xonatec.ch/reports/cve-2026-34099 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in job_info.php (Zeile 16) ungefiltert an eine SQL-Abfrage. Eine Authentifizierung ist laut Quelle nicht erforderlich, sodass Angreifer aus der Ferne eigene SQL-Anweisungen einschleusen können. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Herstellerhinweise beachten und den externen Zugriff auf die Anwendung einschränken. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.5% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-56057 https://feed.xonatec.ch/reports/cve-2026-56057 Tue, 14 Jul 2026 00:00:00 GMT In Uncanny Automator Pro besteht eine PHP Object Injection, die bereits von Konten mit der Rolle Subscriber ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 7.3.0.6. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 7.3.0.6 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2025-69127 https://feed.xonatec.ch/reports/cve-2025-69127 Tue, 14 Jul 2026 00:00:00 GMT Plumbing in Versionen bis einschliesslich 1.6 ist von einer unauthentifizierten PHP Object Injection betroffen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Laut CVSS-Vektor ist der Angriff über das Netz, ohne Rechte und ohne Nutzerinteraktion möglich. Betroffene Installationen sollten auf eine Version oberhalb der genannten Versionsspanne aktualisiert werden. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2025-69111 https://feed.xonatec.ch/reports/cve-2025-69111 Tue, 14 Jul 2026 00:00:00 GMT In Reisen in Versionen bis einschliesslich 1.4.1 besteht eine unauthentifizierte PHP Object Injection. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-54194 https://feed.xonatec.ch/reports/cve-2026-54194 Tue, 14 Jul 2026 00:00:00 GMT Fusion Builder ist für eine PHP Object Injection anfällig, die von Konten mit Contributor-Rechten ausgenutzt werden kann. Betroffen sind laut Quelle alle Versionen bis einschliesslich 3.15.4. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-27053 https://feed.xonatec.ch/reports/cve-2026-27053 Tue, 14 Jul 2026 00:00:00 GMT Broadcast Live Video ist in Versionen vor 7.1.3 für unauthentifizierte PHP Object Injection anfällig. Angreifende benötigen dafür keine gültige Anmeldung. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Aktualisierung auf Version 7.1.3 oder neuer. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49109 https://feed.xonatec.ch/reports/cve-2026-49109 Tue, 14 Jul 2026 00:00:00 GMT Das Plugin Integration for Salesforce and Contact Form 7, WPForms, Elementor, Formidable, Ninja Forms erlaubt eine PHP Object Injection ohne vorherige Authentifizierung. Betroffen sind laut Quelle alle Versionen bis einschliesslich 1.4.3. CVSS-Basiswert: 9.8 (Kritisch). Die Ausnutzung ist gemäss CVSS-Vektor über das Netzwerk ohne Rechte und ohne Benutzerinteraktion möglich. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php, salesforce, tableau-salesforce, phoenix-contact KritischPHPSalesforceTableau (Salesforce)Phoenix Contact https://feed.xonatec.ch/reports/cve-2026-49106 https://feed.xonatec.ch/reports/cve-2026-49106 Tue, 14 Jul 2026 00:00:00 GMT In „Integration for Contact Form 7 and Constant Contact“ besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 1.1.6. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.6 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php, phoenix-contact KritischPHPPhoenix Contact https://feed.xonatec.ch/reports/cve-2026-49763 https://feed.xonatec.ch/reports/cve-2026-49763 Tue, 14 Jul 2026 00:00:00 GMT Im Plugin Integration for Contact Form 7 HubSpot bis einschliesslich Version 1.3.7 besteht laut NVD eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php, phoenix-contact KritischPHPPhoenix Contact https://feed.xonatec.ch/reports/cve-2026-49765 https://feed.xonatec.ch/reports/cve-2026-49765 Tue, 14 Jul 2026 00:00:00 GMT In der Erweiterung Integration for Mailchimp and Contact Form 7, WPForms, Elementor, Ninja Forms bis einschliesslich Version 1.1.8 besteht laut NVD eine PHP Object Injection. Sie ist ohne Authentifizierung ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Zugeordnete überwachte Produkte: PHP, Phoenix Contact. Empfohlene Massnahme: auf eine Version neuer als 1.1.8 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php, phoenix-contact KritischPHPPhoenix Contact https://feed.xonatec.ch/reports/cve-2026-49768 https://feed.xonatec.ch/reports/cve-2026-49768 Tue, 14 Jul 2026 00:00:00 GMT In Happyforms besteht eine unauthentifizierte PHP Object Injection. Betroffen sind laut NVD alle Versionen bis einschliesslich 1.26.13. CVSS-Basiswert: 9.8 (Kritisch); der Angriff ist über das Netzwerk ohne Zugangsdaten und ohne Benutzerinteraktion möglich. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 1.26.13 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49769 https://feed.xonatec.ch/reports/cve-2026-49769 Tue, 14 Jul 2026 00:00:00 GMT Das WordPress-Plugin wpForo Forum erlaubt in Versionen bis einschliesslich 3.1.0 eine PHP Object Injection ohne vorherige Authentifizierung. Der CVSS-Vektor (AV:N/AC:L/PR:N/UI:N) beschreibt einen netzwerkbasierten Angriff ohne Authentifizierung und ohne Benutzerinteraktion mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 3.1.0 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49770 https://feed.xonatec.ch/reports/cve-2026-49770 Tue, 14 Jul 2026 00:00:00 GMT In WP Travel Engine besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 6.7.12. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 6.7.12 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49781 https://feed.xonatec.ch/reports/cve-2026-49781 Tue, 14 Jul 2026 00:00:00 GMT In OttoKit besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 1.1.27. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine Version neuer als 1.1.27 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-12116 https://feed.xonatec.ch/reports/cve-2026-12116 Tue, 14 Jul 2026 00:00:00 GMT In den Xerte Online Tools lässt sich in den Server-Einstellungen der Pfad zur Antivirus-Binärdatei auf einen PHP-Interpreter umbiegen. Angreifende können darüber PHP-Dateien hochladen und ausführen lassen, was zu Remote Code Execution führt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-39529 https://feed.xonatec.ch/reports/cve-2026-39529 Tue, 14 Jul 2026 00:00:00 GMT In Elementra besteht laut Quellbeschreibung eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Betroffen sind die Versionen bis einschliesslich 1.0.9. Der CVSS-Vektor weist die Lücke als über das Netzwerk und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-40725 https://feed.xonatec.ch/reports/cve-2026-40725 Tue, 14 Jul 2026 00:00:00 GMT In WooCommerce Product Filters in Versionen vor 2.0.6 besteht eine unauthentifizierte PHP Object Injection. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar und wirkt sich vollständig auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49075 https://feed.xonatec.ch/reports/cve-2026-49075 Tue, 14 Jul 2026 00:00:00 GMT In JetEngine bis einschliesslich Version 3.8.9.1 besteht laut NVD eine PHP Object Injection, die sich mit Contributor-Rechten ausnutzen lässt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Zugeordnetes überwachtes Produkt: PHP. Empfohlene Massnahme: auf eine Version neuer als 3.8.9.1 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49107 https://feed.xonatec.ch/reports/cve-2026-49107 Tue, 14 Jul 2026 00:00:00 GMT In Thrive Apprentice besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen vor 10.8.10.2. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 10.8.10.2 oder neuer aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34100 https://feed.xonatec.ch/reports/cve-2026-34100 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id laut Quellbeschreibung ungefiltert an eine SQL-Abfrage in media.php (Zeile 17). Angreifer können darüber SQL-Injection ausführen. Die Lücke ist ohne Authentifizierung über das Netzwerk erreichbar und wirkt sich auf Vertraulichkeit, Integrität und Verfügbarkeit aus. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34101 https://feed.xonatec.ch/reports/cve-2026-34101 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in text_file.php ungefiltert an eine SQL-Abfrage. Angreifende können darüber eigene SQL-Anweisungen einschleusen und auf die Datenbank zugreifen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34102 https://feed.xonatec.ch/reports/cve-2026-34102 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter 'id' in job_info_get.php (Zeile 16) ungefiltert an eine SQL-Abfrage. Authentifizierte Angreifende können darüber eigene SQL-Anweisungen einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34103 https://feed.xonatec.ch/reports/cve-2026-34103 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in subtitles.php ungefiltert an eine SQL-Abfrage (Zeile 16), wodurch SQL-Injection möglich ist. Laut CVSS-Vektor ist die Schwachstelle über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Weitere Details sind dem NVD-Eintrag zu entnehmen. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34104 https://feed.xonatec.ch/reports/cve-2026-34104 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter name in designer.php (Zeile 124) ungefiltert an eine SQL-Abfrage. Ein authentifizierter Angreifer kann darüber laut Quelle eigene SQL-Anweisungen einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34105 https://feed.xonatec.ch/reports/cve-2026-34105 Tue, 14 Jul 2026 00:00:00 GMT Das Guardian language-system übergibt den GET-Parameter id in translate_text.php (Zeile 15) ungefiltert an eine SQL-Abfrage. Dadurch können Angreifer laut Quelle eigene SQL-Befehle einschleusen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Laut CVSS-Vektor ist der Angriff ohne Authentifizierung und ohne Nutzerinteraktion über das Netz möglich. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-55740 https://feed.xonatec.ch/reports/cve-2026-55740 Tue, 14 Jul 2026 00:00:00 GMT Die Anwendung bus-ticket von Nur-Alam39 (keine veröffentlichten Versionen, letzter Commit 459cabdbeb99c00225b26e46e3c2c30ae1de7bad) enthält laut NVD eine SQL-Injection in bus_info.php. Der Parameter busid wird dabei ungeprüft übernommen; die Lücke ist ohne Authentifizierung ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Zugeordnetes überwachtes Produkt: PHP. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-45060 https://feed.xonatec.ch/reports/cve-2026-45060 Tue, 14 Jul 2026 00:00:00 GMT ClipBucket v5, eine Open-Source-Plattform zum Teilen von Videos, ist vor Version 5.5.3 - #129 über den Endpunkt actions/progress_video.php für Blind SQL Injection anfällig. Jeder nicht authentifizierte Nutzer kann die Lücke ausnutzen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 5.5.3 - #129 oder neuer aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.4% Betroffene Produkte: progress-moveit, php KritischProgressPHP https://feed.xonatec.ch/reports/cve-2026-57621 https://feed.xonatec.ch/reports/cve-2026-57621 Tue, 14 Jul 2026 00:00:00 GMT In Booktics besteht eine PHP Object Injection, die ohne Authentifizierung ausgenutzt werden kann. Betroffen sind laut Quelle die Versionen bis einschliesslich 1.0.21. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Lücke als netzwerkbasiert, ohne Authentifizierung und ohne Nutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine Version neuer als 1.0.21 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.3% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-57677 https://feed.xonatec.ch/reports/cve-2026-57677 Tue, 14 Jul 2026 00:00:00 GMT Im Novalnet Payment Gateway for WooCommerce besteht eine PHP Object Injection, die ohne vorherige Authentifizierung ausgelöst werden kann. Betroffen sind Versionen bis einschliesslich 12.10.3. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine Version neuer als 12.10.3 aktualisieren. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.3% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-38581 https://feed.xonatec.ch/reports/cve-2026-38581 Tue, 14 Jul 2026 00:00:00 GMT In damasac thaipalliative_lte bis einschliesslich Version 3.0 besteht eine SQL-Injection-Schwachstelle. Entfernte Angreifer können laut Quelle über den Parameter idFormMain an /substudy/ezform.php (Zeile 14) beliebige SQL-Befehle ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Der Angriff ist ohne Authentifizierung und ohne Nutzerinteraktion über das Netz möglich. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.3% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-49108 https://feed.xonatec.ch/reports/cve-2026-49108 Tue, 14 Jul 2026 00:00:00 GMT In Moderno vor Version 1.43 besteht laut NVD eine PHP Object Injection, die ohne vorherige Authentifizierung ausgenutzt werden kann. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.3% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-7261 https://feed.xonatec.ch/reports/cve-2026-7261 Wed, 03 Jun 2026 00:00:00 GMT In PHP 8.2.x vor 8.2.31, 8.3.x vor 8.3.31, 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 wird bei Konfiguration von `SoapServer` mit `SOAP_PERSISTENCE_SESSION` das Handler-Objekt sessionübergreifend persistiert, was zu einer kritischen Sicherheitslücke führt. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.3% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2025-14179 https://feed.xonatec.ch/reports/cve-2025-14179 Wed, 03 Jun 2026 00:00:00 GMT In PHP-Versionen 8.2.x vor 8.2.31, 8.3.x vor 8.3.31, 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 verarbeitet der PDO-Firebird-Treiber NUL-Bytes beim Vorbereiten von SQL-Abfragen unsachgemäss. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.3% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-34037 https://feed.xonatec.ch/reports/cve-2026-34037 Tue, 14 Jul 2026 00:00:00 GMT Coolify ist ein quelloffenes, selbst hostbares Werkzeug zur Verwaltung von Servern, Anwendungen und Datenbanken. Vor Version 4.0.0-beta.464 autorisiert die Livewire-Aktion cloneTo() in ResourceOperations.php nur die Quelle unzureichend. CVSS-Basiswert: 9.9 (Kritisch) – Angriff über das Netzwerk mit niedrigen Rechten und ohne Nutzerinteraktion, mit Scope-Wechsel und hoher Auswirkung auf Vertraulichkeit und Integrität. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf Coolify 4.0.0-beta.464 oder neuer aktualisieren. Severity: Kritisch · CVSS: 9.9 · EPSS: 0.2% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-55742 https://feed.xonatec.ch/reports/cve-2026-55742 Tue, 14 Jul 2026 00:00:00 GMT Cotonti 1.0.0 (Master-Branch, Commit f43f1fc3) ist anfällig für Cross-Site Request Forgery im Rechte-Handler der Administration. Betroffen ist die Rechte-Aktualisierung ('a=update') in system/admin/admin.rights.php, die ohne ausreichende Absicherung gegen untergeschobene Anfragen ausgeführt wird. Die Ausnutzung setzt eine Nutzerinteraktion voraus. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Severity: Kritisch · CVSS: 9.6 · EPSS: 0.2% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2025-11023 https://feed.xonatec.ch/reports/cve-2025-11023 Tue, 14 Jul 2026 00:00:00 GMT In ArkSigner Software besteht laut Quellbeschreibung eine PHP-Remote-File-Inclusion-Schwachstelle: Funktionalität aus einer nicht vertrauenswürdigen Quelle wird eingebunden, weil der Dateiname für Include-/Require-Anweisungen nicht ausreichend kontrolliert wird. Die Lücke ist ohne Authentifizierung über das Netzwerk erreichbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.2% Betroffene Produkte: n-able, php KritischN-ablePHP https://feed.xonatec.ch/reports/cve-2026-6074 https://feed.xonatec.ch/reports/cve-2026-6074 Tue, 14 Jul 2026 00:00:00 GMT Das Intrado 911 Emergency Gateway (EGW) in den Versionen 5.x, 6.x und 7.x enthält eine Path-Traversal-Schwachstelle im Endpunkt download_debuglog_file.php, der für den Download von Debug-Logs verwendet wird. Ein nicht authentifizierter Angreifer kann die Anfrage manipulieren. CVSS-Basiswert: 9.8 (Kritisch). Die Lücke ist gemäss CVSS-Vektor über das Netzwerk ohne Rechte und ohne Benutzerinteraktion ausnutzbar. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.1% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2019-25729 https://feed.xonatec.ch/reports/cve-2019-25729 Tue, 14 Jul 2026 00:00:00 GMT PDF Signer 3.0 enthält eine Server-Side-Template-Injection-Schwachstelle. Nicht authentifizierte Angreifende können über den Cookie-Parameter CSRF-TOKEN PHP-Befehle einschleusen und dadurch beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.0% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-24895 https://feed.xonatec.ch/reports/cve-2026-24895 Wed, 03 Jun 2026 00:00:00 GMT In FrankenPHP vor Version 1.11.2 verarbeitet die CGI-Pfadaufteilungslogik Unicode-Zeichen bei der Gross-/Kleinschreibungskonvertierung fehlerhaft. Der Splitindex wird dabei inkorrekt berechnet, was von Angreifern ausgenutzt werden kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Severity: Kritisch · CVSS: 9.8 · EPSS: 0.0% Betroffene Produkte: php KritischPHP https://feed.xonatec.ch/reports/cve-2026-60121 https://feed.xonatec.ch/reports/cve-2026-60121 Tue, 14 Jul 2026 00:00:00 GMT Vitec Flamingo 4.12.2 enthält laut NVD eine OS-Command-Injection im Endpunkt admin/ajax/ping.php, die ohne Authentifizierung ausgenutzt werden kann. Entfernte Angreifer können darüber beliebige Befehle ausführen; ausgenutzt wird gemäss Quelle eine doppelte Verarbeitung der Eingabe. Der CVSS-Vektor weist die Lücke als über das Netzwerk, ohne Privilegien und ohne Benutzerinteraktion ausnutzbar aus, mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor. Severity: Kritisch · CVSS: 9.8 Betroffene Produkte: ping-identity-onelogin, php KritischPing Identity/OneLoginPHP https://feed.xonatec.ch/reports/cve-2026-10273 https://feed.xonatec.ch/reports/cve-2026-10273 Tue, 14 Jul 2026 00:00:00 GMT In php-censor bis Version 2.1.6 besteht eine Schwachstelle in einer Funktion der Datei src/Model/Build/GitBuild.php der Webhook-Endpunkt-Komponente. Eine Manipulation der Argumente ermöglicht die Ausnutzung über das Netzwerk. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Severity: Hoch · CVSS: 7.3 · EPSS: 1.0% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2019-25515 https://feed.xonatec.ch/reports/cve-2019-25515 Wed, 03 Jun 2026 00:00:00 GMT In Jettweb PHP Hazir Haber Sitesi Scripti V3 besteht eine Authentication-Bypass-Schwachstelle in der Datei login.php des Administrationspanels, die nicht authentifizierten Angreifern Administratorzugriff ermöglicht. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.0 %. Severity: Hoch · CVSS: 7.5 · EPSS: 1.0% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2026-7262 https://feed.xonatec.ch/reports/cve-2026-7262 Wed, 03 Jun 2026 00:00:00 GMT In PHP 8.2.x vor 8.2.31, 8.3.x vor 8.3.31, 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 enthält der Dekodierungsprozess des SOAP-Servers bei konfigurierter Typemap einen Fehler, der zu Sicherheitsproblemen führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %. Severity: Hoch · CVSS: 7.5 · EPSS: 0.8% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2026-7654 https://feed.xonatec.ch/reports/cve-2026-7654 Tue, 14 Jul 2026 00:00:00 GMT Das WordPress-Plugin Admin Columns ist in Versionen bis einschliesslich 7.0.18 über PHP Object Injection angreifbar, was zu Remote Code Execution führen kann; Ursache ist die Verwendung von unserialize() ohne ausreichende Absicherung. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Empfohlene Massnahme: Das Plugin auf eine Version neuer als 7.0.18 aktualisieren. Severity: Hoch · CVSS: 8.8 · EPSS: 0.5% Betroffene Produkte: wordpress-patchstack, wordpress-wordfence, wordpress-wpscan, php HochWordPress (Patchstack)WordPress (Wordfence)WordPress (WPScan)PHP https://feed.xonatec.ch/reports/cve-2026-7568 https://feed.xonatec.ch/reports/cve-2026-7568 Wed, 03 Jun 2026 00:00:00 GMT In der PHP-Funktion metaphone() in ext/standard/metaphone.c wird eine vorzeichenbehaftete Integer-Variable zur Positionsverfolgung verwendet, was zu einem Fehler führen kann. Betroffen sind PHP-Versionen 8.2.* vor 8.2.31, 8.3.* vor 8.3.31, 8.4.* vor 8.4.21 sowie 8.5.* vor 8.5.6. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %. Severity: Hoch · CVSS: 7.5 · EPSS: 0.5% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2019-25513 https://feed.xonatec.ch/reports/cve-2019-25513 Wed, 03 Jun 2026 00:00:00 GMT In Jettweb PHP Hazir Haber Sitesi Scripti V3 besteht eine SQL-Injection-Schwachstelle, die nicht authentifizierten Angreifern erlaubt, Datenbankabfragen über den Parameter 'q' zu manipulieren. CVSS-Basiswert: 8.2 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Hoch · CVSS: 8.2 · EPSS: 0.4% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2026-57856 https://feed.xonatec.ch/reports/cve-2026-57856 Tue, 14 Jul 2026 00:00:00 GMT Cockpit CMS enthält eine Path-Traversal-Schwachstelle in der Bucket-Datei-Storage-API (/system/buckets/api). Die Methode api() in modules/System/Controller/Buckets.php bereinigt den Bucket-Namen mit einem regulären Ausdruck, der eine Traversierung über den vorgesehenen Pfad hinaus nicht vollständig verhindert. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: auf eine bereinigte Cockpit-CMS-Version aktualisieren, sobald verfügbar. Severity: Hoch · CVSS: 8.8 · EPSS: 0.4% Betroffene Produkte: hpe-storage, ibm-storage, pure-storage, php HochHPE StorageIBM StoragePure StoragePHP https://feed.xonatec.ch/reports/cve-2026-7263 https://feed.xonatec.ch/reports/cve-2026-7263 Wed, 03 Jun 2026 00:00:00 GMT In PHP 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 kann die Methode `DOMNode::C14N()` XML-Daten fehlerhaft verarbeiten und dabei eine zirkuläre verkettete Liste in der Datenstruktur des XML-Dokuments erzeugen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Hoch · CVSS: 7.5 · EPSS: 0.4% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2026-7258 https://feed.xonatec.ch/reports/cve-2026-7258 Wed, 03 Jun 2026 00:00:00 GMT In PHP 8.2.x vor 8.2.31, 8.3.x vor 8.3.31, 8.4.x vor 8.4.21 und 8.5.x vor 8.5.6 übergeben mehrere Funktionen wie `urldecode()` vorzeichenbehaftete Zeichen (signed char) an ctype-Funktionen wie `isxdigit()`, was auf bestimmten Plattformen zu undefinierten Verhalten und Sicherheitslücken führen kann. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Severity: Hoch · CVSS: 7.5 · EPSS: 0.3% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2026-39903 https://feed.xonatec.ch/reports/cve-2026-39903 Tue, 14 Jul 2026 00:00:00 GMT Simple Machines Forum in Version 2.1 vor 2.1.8 und 3.0 vor 3.0 Alpha 5 enthält in Sources/Actions/AttachmentApprove.php eine Autorisierungsumgehung, die durch einen Ein-Zeichen-Operatorfehler ausgelöst wird. CVSS-Basiswert: 7.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Severity: Hoch · CVSS: 7.1 · EPSS: 0.3% Betroffene Produkte: php HochPHP https://feed.xonatec.ch/reports/cve-2026-15597 https://feed.xonatec.ch/reports/cve-2026-15597 Tue, 14 Jul 2026 00:00:00 GMT Im SourceCodester Class and Exam Timetabling System (Version 1.0) besteht eine Schwachstelle in einer unbekannten Funktion der Datei /edit_exam2.php, die sich durch Manipulation eines Arguments ausnutzen lässt. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt. Die Datenlage nennt keine Herstellermassnahme; die Lage sollte beobachtet und ein Update eingespielt werden, sobald verfügbar. Severity: Hoch · CVSS: 7.3 · EPSS: 0.3% Betroffene Produkte: php HochPHP