GiveWP-Sicherheitslücke CVE-2026-104405 ermöglicht Privilege Escalation ohne Anmeldung

Die GiveWP Sicherheitslücke CVE-2026-104405 ermöglicht Privilege Escalation, ohne dass ein Angreifer zuvor über ein WordPress-Benutzerkonto verfügen muss. Die Schwachstelle betrifft GiveWP-Versionen bis einschließlich 4.17.0 und hat einen CVSS-3.1-Score von 8,1 High.

Die Sicherheitskorrektur ist ab GiveWP 4.18.0 enthalten. Inzwischen steht bereits Version 4.18.0.1 zur Verfügung. Vservs empfiehlt daher, direkt auf die aktuellste stabile GiveWP-Version zu aktualisieren.

Was ist die GiveWP Sicherheitslücke CVE-2026-104405?

CVE-2026-104405 ist eine unauthentifizierte Privilege-Escalation-Schwachstelle in GiveWP, einem weit verbreiteten WordPress-Plugin für Spenden und Fundraising.

Die Schwachstelle wird als CWE-266 – Incorrect Privilege Assignment – klassifiziert. Dabei weist eine Anwendung einem Benutzer oder einer anderen Entität unter bestimmten Bedingungen höhere Berechtigungen zu, als nach dem vorgesehenen Berechtigungsmodell erlaubt sein sollten.

Der veröffentlichte CVSS-3.1-Vektor lautet:

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

Dies bedeutet:

• Attack Vector: Network;
• Attack Complexity: High;
• Privileges Required: None;
• User Interaction: None;
• Scope: Unchanged;
• Confidentiality Impact: High;
• Integrity Impact: High;
• Availability Impact: High.

Daraus ergibt sich ein CVSS-Score von 8,1 High.

Welche GiveWP-Versionen sind betroffen?

• GiveWP 4.17.0 und älter – verwundbar
• GiveWP 4.18.0 und neuer – für CVE-2026-104405 korrigiert
• Aktuell empfohlen – GiveWP 4.18.0.1 oder neuer

Da inzwischen eine neuere Version verfügbar ist, empfiehlt Vservs nicht, bewusst bei der ersten korrigierten Version 4.18.0 zu bleiben.

Version 4.18.0.1 enthält zusätzlich verbesserte Validierung für PayPal-Standard-IPN-Benachrichtigungen. Installieren Sie daher die aktuellste stabile GiveWP-Version, die über das offizielle WordPress-Update angeboten wird.

Mehr als 100.000 WordPress-Websites verwenden GiveWP

GiveWP wird laut WordPress.org auf mehr als 100.000 WordPress-Websites aktiv eingesetzt.

Das Plugin wird insbesondere von gemeinnützigen Organisationen, Stiftungen, Vereinen und anderen Organisationen für Spenden und Fundraising verwendet.

Auf solchen Websites können personenbezogene Daten von Spendern sowie weitere sensible Verwaltungsdaten verarbeitet werden. Eine Privilege-Escalation-Schwachstelle ist deshalb auch aus Datenschutzsicht relevant.

Kein WordPress-Konto erforderlich

Für CVE-2026-104405 benötigt ein Angreifer nach den veröffentlichten Schwachstellendaten kein bereits vorhandenes WordPress-Benutzerkonto.

Auch eine Interaktion eines anderen WordPress-Benutzers ist nicht erforderlich.

Die Attack Complexity wird allerdings als High eingestuft. Das bedeutet, dass für eine erfolgreiche Ausnutzung zusätzliche Bedingungen oder ein bestimmter Ablauf erforderlich sein können.

Der vollständige technische Exploitationsweg ist zum Zeitpunkt dieser Veröffentlichung nicht öffentlich im Detail dokumentiert.

Was bedeutet Privilege Escalation?

Bei einer Privilege Escalation erhält ein Angreifer Berechtigungen oder Funktionen, die ihm nach dem normalen Autorisierungsmodell der Anwendung nicht zur Verfügung stehen sollten.

Die derzeit öffentlich verfügbaren Informationen zu CVE-2026-104405 beschreiben jedoch nicht vollständig, welche interne GiveWP-Funktion betroffen ist und welches konkrete WordPress-Berechtigungsniveau nach erfolgreicher Ausnutzung erreicht werden kann.

Es ist deshalb wichtig, bei der Beschreibung der möglichen Auswirkungen nicht über die bestätigten technischen Informationen hinauszugehen.

Der offizielle CVSS-Vektor bewertet die möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit jeweils als High. Eine erfolgreiche Ausnutzung sollte daher als potenziell schwerwiegender Sicherheitsvorfall behandelt werden.

Privilege Escalation bedeutet nicht automatisch Administrator-Zugriff

CVE-2026-104405 wird als unauthentifizierte Privilege Escalation klassifiziert. Diese Klassifizierung allein bedeutet jedoch nicht, dass jede erfolgreiche Ausnutzung automatisch zu einem vollständigen WordPress-Administrator-Konto führt.

Die derzeit veröffentlichten technischen Informationen legen das genaue Zielprivileg beziehungsweise die konkrete Rollenänderung nicht ausreichend offen.

Vservs beschreibt die Schwachstelle daher entsprechend den bestätigten Informationen und klassifiziert sie nicht als bestätigte vollständige Administrator-Übernahme oder Remote Code Execution.

Wird CVE-2026-104405 aktiv ausgenutzt?

Zum Zeitpunkt dieser Veröffentlichung hat Vservs keine zuverlässige öffentliche Bestätigung gefunden, dass CVE-2026-104405 aktiv in freier Wildbahn ausgenutzt wird.

Das Fehlen bestätigter Exploitation ist kein Grund, die Installation der verfügbaren Sicherheitsaktualisierung aufzuschieben.

Die Schwachstelle kann über das Netzwerk erreicht werden, erfordert kein vorhandenes Benutzerkonto und betrifft ein WordPress-Plugin mit mehr als 100.000 aktiven Installationen.

Was sollten GiveWP-Administratoren jetzt tun?

1. Prüfen Sie, welche GiveWP-Version aktuell installiert ist.
2. Aktualisieren Sie mindestens auf GiveWP 4.18.0.
3. Installieren Sie vorzugsweise direkt GiveWP 4.18.0.1 oder eine neuere stabile Version.
4. Kontrollieren Sie nach dem Update, ob die aktualisierte Version tatsächlich aktiv ist.
5. Entfernen Sie nicht mehr benötigte GiveWP-Komponenten und Add-ons.
6. Kontrollieren Sie WordPress-Benutzer und deren Rollen auf unerwartete Änderungen.
7. Prüfen Sie Webserver-, WordPress- und Security-Logs auf auffällige Aktivitäten.

Website auf mögliche Kompromittierung prüfen

Websites, auf denen GiveWP 4.17.0 oder älter öffentlich erreichbar war, können zusätzlich auf Hinweise auf nicht autorisierte Berechtigungsänderungen überprüft werden.

Achten Sie unter anderem auf:

• neue oder unbekannte WordPress-Benutzer;
• bestehende Benutzer, die unerwartet Administrator- oder andere erhöhte Berechtigungen erhalten haben;
• Administrator-Anmeldungen von unbekannten IP-Adressen;
• unerklärliche Änderungen an GiveWP-Einstellungen;
• unerwartete Exporte oder Zugriffe auf Spenderdaten;
• unbekannte Plugins oder Themes;
• unerwartete PHP-Dateien oder Änderungen an WordPress-Dateien;
• auffällige Requests an GiveWP-Endpunkte in Webserver- oder WAF-Logs.

Da die vollständigen technischen Exploitdetails derzeit nicht öffentlich dokumentiert sind, wäre es nicht verantwortungsvoll, einen einzelnen HTTP-Request oder eine bestimmte URL als definitive Indicator of Compromise für CVE-2026-104405 darzustellen.

Was tun bei unerwarteten Berechtigungsänderungen?

Werden unbekannte Administrator-Konten, Berechtigungsänderungen oder andere Hinweise auf eine Kompromittierung gefunden, reicht ein Update von GiveWP allein nicht aus.

Die betroffene WordPress-Installation sollte dann auf weitere nicht autorisierte Änderungen untersucht werden.

Kontrollieren Sie mindestens:

• WordPress-Core-Dateien;
• installierte Plugins und Themes;
• Must-Use-Plugins;
• WordPress-Benutzer und Capabilities;
• Datenbankänderungen;
• wp-config.php;
• WordPress Scheduled Tasks und serverseitige Cronjobs;
• Webserver-, PHP- und Security-Logs;
• API-Keys, Datenbank-Zugangsdaten und andere Application Secrets.

Relevante Administrator-Passwörter und andere Zugangsdaten sollten erst aus einer vertrauenswürdigen Umgebung geändert werden, nachdem die Website untersucht und abgesichert wurde.

Wenn eine Administrator-Sitzung oder ein privilegiertes Konto möglicherweise kompromittiert wurde, sollten zusätzlich die WordPress Authentication Salts erneuert werden.

Mögliche Auswirkungen auf Spenderdaten berücksichtigen

GiveWP wurde speziell für die Verarbeitung von Spenden und die Verwaltung von Spenderinformationen entwickelt.

Wird ein unbefugter Zugriff bestätigt, sollte deshalb geprüft werden, ob personenbezogene Daten betroffen waren. Abhängig von der jeweiligen Website können beispielsweise Namen, E-Mail-Adressen, Spendenhistorien oder andere von GiveWP und zugehörigen Erweiterungen gespeicherte Informationen betroffen sein.

Bei einem möglichen Zugriff auf personenbezogene Daten muss zusätzlich geprüft werden, ob weitere Maßnahmen nach DSGVO beziehungsweise den geltenden Datenschutz- und Meldepflichten erforderlich sind.

Managed WordPress Hosting bei Vservs

WordPress-Sicherheit erfordert eine kontinuierliche Überwachung von WordPress Core, Plugins und Themes. Besonders weit verbreitete Plugins können nach Veröffentlichung einer Schwachstelle schnell zu attraktiven Zielen für automatisierte Angriffe werden.

Mit Vservs Managed WordPress übernehmen wir unter anderem WordPress-Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Malwarekontrollen, Backups, SSL und das technische WordPress-Management.

Zusammenfassung

• Plugin: GiveWP
• CVE: CVE-2026-104405
• Schwachstelle: Privilege Escalation
• CWE: CWE-266 – Incorrect Privilege Assignment
• CVSS: 8,1 – High
• Betroffene Versionen: GiveWP 4.17.0 und älter
• Erste korrigierte Version: GiveWP 4.18.0
• Aktuell empfohlen: GiveWP 4.18.0.1 oder neuer
• Aktive Installationen: mehr als 100.000
• Authentifizierung erforderlich: Nein
• Benutzerinteraktion erforderlich: Nein
• Attack Complexity: High
• Bestätigte Administrator-Übernahme: durch die derzeit veröffentlichten technischen Informationen nicht belegt
• Aktive Ausnutzung: zum Zeitpunkt der Veröffentlichung nicht bestätigt
• Empfehlung: umgehend auf die aktuellste stabile GiveWP-Version aktualisieren

Quellen

• CVE Program – CVE-2026-104405
• NIST NVD – CVE-2026-104405
• Patchstack – GiveWP Vulnerability Database
• WordPress.org – GiveWP Donation Plugin and Fundraising Platform