GiveWP-Sicherheitslücke ermöglicht beliebige WordPress-Shortcodes ohne Login

Die GiveWP-Sicherheitslücke CVE-2026-85113 ermöglicht es Angreifern ohne WordPress-Benutzerkonto, beliebige registrierte WordPress-Shortcodes auszuführen. Die Schwachstelle hat einen CVSS-Score von 6,5 und betrifft GiveWP-Versionen vor 4.16.9. GiveWP wird auf mehr als 100.000 WordPress-Websites eingesetzt.

Die GiveWP-Sicherheitslücke entsteht, weil von Spendern übermittelte Daten auf öffentlichen Seiten angezeigt werden können, ohne Shortcode-Syntax ausreichend zu neutralisieren. Durch eine spezielle Verschachtelung von Shortcodes kann ein Angreifer diese Schutzmaßnahme umgehen und WordPress dazu bringen, den übermittelten Shortcode zu verarbeiten.

Für die Ausnutzung ist weder ein WordPress-Benutzerkonto noch eine andere Form der Authentifizierung erforderlich. Die tatsächlichen Auswirkungen unterscheiden sich jedoch je nach Website und hängen von den Shortcodes ab, die durch WordPress, das aktive Theme, installierte Plugins oder individuellen Code registriert wurden.

Was ist die GiveWP-Sicherheitslücke CVE-2026-85113?

CVE-2026-85113 ist eine Injection-Schwachstelle in GiveWP, die von Spendern übermittelte Daten betrifft, welche später auf einer öffentlich zugänglichen Seite verarbeitet werden können.

GiveWP versucht, Shortcode-Syntax aus diesen Daten zu entfernen. Laut den veröffentlichten Informationen zur Sicherheitslücke kann diese Schutzfunktion jedoch durch verschachtelte Shortcode-Konstruktionen umgangen werden. Werden die betroffenen Spenderinformationen anschließend von WordPress dargestellt, kann der eingebettete Shortcode dennoch interpretiert und ausgeführt werden.

Die Schwachstelle wird als CWE-74 eingestuft: unzureichende Neutralisierung spezieller Elemente, bevor Daten durch eine nachgelagerte Komponente verarbeitet werden.

Betroffene und sichere GiveWP-Versionen

Laut den veröffentlichten Sicherheitsinformationen sind GiveWP-Versionen vor 4.16.9 von CVE-2026-85113 betroffen.

• Betroffen: GiveWP-Versionen vor 4.16.9
• Abgesichert: GiveWP 4.16.9 oder neuer
• CVE: CVE-2026-85113
• CVSS: 6,5 / Medium
• Authentifizierung erforderlich: Nein
• Benutzerinteraktion erforderlich: Nein

Administratoren sollten auf GiveWP 4.16.9 oder eine neuere unterstützte Version aktualisieren, sobald die abgesicherte Version über den verwendeten Update-Kanal verfügbar ist.

Warum kann die Ausführung beliebiger Shortcodes gefährlich sein?

Die Ausführung eines WordPress-Shortcodes ist nicht mit der direkten Ausführung beliebigen PHP-Codes gleichzusetzen. Die tatsächliche Schwere dieser Schwachstelle hängt deshalb stark davon ab, welche Shortcodes auf der jeweiligen WordPress-Installation verfügbar sind.

Viele WordPress-Plugins registrieren eigene Shortcodes, über die Informationen abgerufen, Inhalte erzeugt oder bestimmte Funktionen ausgeführt werden. Kann ein nicht authentifizierter Angreifer einen solchen Shortcode mit selbst gewählten Parametern aufrufen, können dadurch unbeabsichtigte Aktionen oder die Offenlegung von Informationen möglich werden.

Auf einer einfachen WordPress-Installation können die praktischen Auswirkungen begrenzt sein. Auf einer Website mit zahlreichen Plugins, individuellen Erweiterungen oder leistungsfähigen Shortcodes können die Folgen deutlich schwerwiegender ausfallen.

Wird die GiveWP-Sicherheitslücke aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung gibt es keine zuverlässige Bestätigung dafür, dass CVE-2026-85113 aktiv in freier Wildbahn ausgenutzt wird.

Die Schwachstelle ist derzeit auch nicht im Known Exploited Vulnerabilities Catalog von CISA aufgeführt. Die Veröffentlichung technischer Informationen über eine Sicherheitslücke bedeutet nicht automatisch, dass bereits reale Angriffe beobachtet wurden.

Vservs empfiehlt deshalb, die Sicherheitslücke ernst zu nehmen und das Sicherheitsupdate zeitnah zu installieren, ohne unbelegte Behauptungen über eine aktive oder großflächige Angriffskampagne aufzustellen.

Was sollten GiveWP-Administratoren jetzt tun?

• Prüfen Sie die aktuell installierte GiveWP-Version.
• Aktualisieren Sie GiveWP auf Version 4.16.9 oder neuer.
• Erstellen Sie vor dem Update eine aktuelle Sicherung der Website und Datenbank.
• Kontrollieren Sie nach dem Update, ob Spendenformulare und Zahlungsintegrationen weiterhin ordnungsgemäß funktionieren.
• Ist über den verwendeten Update-Kanal noch keine abgesicherte Version verfügbar, sollte GiveWP gegebenenfalls vorübergehend deaktiviert werden.
• Prüfen Sie, welche Plugins und individuellen Erweiterungen zusätzliche WordPress-Shortcodes registrieren.
• Entfernen Sie Plugins und Funktionen, die nicht mehr benötigt werden.

Website auf eine mögliche Kompromittierung prüfen

Da die Schwachstelle von Spendern kontrollierte Eingabewerte betrifft, sollten Websites, auf denen eine verwundbare GiveWP-Version eingesetzt wurde, aktuelle Spender- und Formulardaten auf unerwartete Shortcode-Syntax überprüfen.

Administratoren sollten insbesondere auf folgende Auffälligkeiten achten:

• eckige Klammern oder verschachtelte Shortcode-Konstruktionen in Spendernamen oder anderen von Spendern kontrollierten Feldern;
• unerwartete Änderungen an Seiten oder Beiträgen, auf denen Spenderinformationen angezeigt werden;
• unbekannte WordPress-Benutzer oder Administratorkonten;
• unerwartet installierte Plugins oder veränderte Plugin-Dateien;
• ungewöhnliche Anfragen an GiveWP-Formulare in Webserver- und Access-Logs;
• unerwartete Datenbankänderungen im zeitlichen Zusammenhang mit verdächtigen Spenden- oder Formularanfragen.

Das Auffinden von Shortcode-Syntax in einem Eingabefeld ist nicht automatisch ein Beweis für eine erfolgreiche Kompromittierung. Die tatsächlichen Auswirkungen hängen davon ab, welcher Shortcode ausgeführt wurde und welche Funktionalität dieser Shortcode bereitstellt.

Zusätzliches Risiko durch andere WordPress-Plugins

WordPress-Websites verwenden häufig mehrere Plugins, die jeweils eigene Shortcodes registrieren. Dadurch kann dieselbe GiveWP-Sicherheitslücke auf zwei Websites sehr unterschiedliche Auswirkungen haben.

Eine Sicherheitsprüfung sollte deshalb nicht nur GiveWP selbst berücksichtigen, sondern auch die übrigen aktiven Plugins, registrierten Shortcodes und eventuell vorhandene individuelle WordPress-Funktionen.

Managed WordPress und Managed VPS bei Vservs

Vservs überwacht Sicherheitsprobleme in WordPress, Plugins und Serverkomponenten aktiv. Mit Managed WordPress Hosting von Vservs übernehmen wir die technische Verwaltung von WordPress Core, Plugins und Themes. Dazu gehören unter anderem Sicherheitsupdates, Security Hardening, Monitoring, Malware-Prüfungen und Backups.

Für Websites und Anwendungen, die eine eigene isolierte Serverumgebung benötigen, bietet Vservs außerdem Managed VPS Hosting einschließlich technischem Servermanagement, relevanten Sicherheitsupdates, Monitoring und Server Hardening an.

Bei Unmanaged Hosting und Unmanaged VPS bleibt die Kontrolle und Installation von WordPress-, Plugin- und Betriebssystem-Sicherheitsupdates in der Verantwortung des Administrators.

Fazit

Die GiveWP-Sicherheitslücke CVE-2026-85113 ermöglicht es einem Angreifer ohne WordPress-Benutzerkonto, über von GiveWP verarbeitete Daten beliebige registrierte WordPress-Shortcodes auszuführen.

Die Schwachstelle hat einen CVSS-Score von 6,5 und es gibt derzeit keine bestätigte aktive Ausnutzung in freier Wildbahn. Aufgrund der mehr als 100.000 aktiven GiveWP-Installationen und der Tatsache, dass für die Ausnutzung keine Authentifizierung erforderlich ist, sollten betroffene Websites dennoch zeitnah aktualisiert werden.

Administratoren sollten GiveWP auf Version 4.16.9 oder neuer aktualisieren und Websites, auf denen verwundbare Versionen eingesetzt wurden, auf verdächtige Spendereingaben und unerwartete Änderungen überprüfen.

Quellen

• WPScan – CVE-2026-85113: GiveWP arbitrary shortcode execution
• CVE Program – CVE-2026-85113
• WordPress.org – GiveWP Donation Plugin and Fundraising Platform