GiveWP WordPress-Plugin: Rechteausweitung zu Administrator ohne Authentifizierung
Zusammenfassung
GiveWP, ein WordPress-Plugin für Spenden und Fundraising, enthält bis und mit Version 4.17.0 eine Schwachstelle zur Rechteausweitung (CWE-266, falsche Rechtezuweisung). Ein nicht authentifizierter Angreifer mit Netzwerkzugriff auf die Website könnte erhöhte Rechte erlangen, möglicherweise bis zur Administratorstufe mit voller Kontrolle über die Website. Der CVSS-Wert beträgt 8.1; Patchstack stuft die Schwachstelle als hohe Priorität ein, für diese CVE wurde jedoch keine Herstellerwarnung gefunden.
Betroffen
- GiveWP-Plugin für WordPress, Versionen bis und mit 4.17.0
- Herstellerfeld im CVE-Feed: Nexcess (vermutlich Zuordnungsfehler; Entwickler gemäss Patchstack: Liquid Web / StellarWP)
Behoben in
- Version 4.18.0 (gemäss Patchstack und WPScan)
- Die Quellen widersprechen sich: Websupport nennt eine spätere korrigierte Version (4.19.0); VulDB erwähnt 4.17.1, was den anderen Quellen widerspricht und nicht berücksichtigt wird
- Genaue korrigierte Version im Changelog des Herstellers für diese CVE: Unbekannt.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Patchstack hat für seine Kunden eine virtuelle Schutzregel bereitgestellt; dies ist kein Fix und ersetzt das Update nicht.
- Bis zur Aktualisierung: Zugriff auf den Administrationsbereich einschränken und Benutzerkonten auf unerwartete neue oder erhöhte Konten prüfen.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert (CISA KEV: laut den geprüften Quellen nicht aufgeführt).
- Patchstack erwartet aufgrund des Schweregrads eine Ausnutzung; dies ist eine Prognose, kein Nachweis von Angriffen.
- Öffentlicher Proof-of-Concept: keiner gefunden. Unbekannt.
Unsere Empfehlung
- GiveWP auf allen WordPress-Websites auf Version 4.18.0 oder neuer aktualisieren und die installierte Version anschliessend überprüfen.
- Falls ein Update nicht sofort möglich ist, Hostinganbieter oder Webentwickler um Unterstützung bitten und, sofern verfügbar, eine virtuelle Schutzregel oder WAF-Regel einsetzen.
- WordPress-Benutzerkonten auf unerwartete Administratoren oder Rollenänderungen prüfen und die Website auf Anzeichen einer Kompromittierung untersuchen.
- Automatische Plugin-Updates nach Möglichkeit aktivieren und auf weitere GiveWP-Sicherheitsupdates achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack patchstack.com
- WPScan wpscan.com
- HOL Guard hol.org
- VulDB vuldb.com
- Websupport websupportservices.co.uk
- GiveWP GitHub releases github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:52.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.