Zwei Sicherheitslücken im Spenden-Add-on Give Peer-to-Peer lassen sich laut Wordfence zu Schadcode ohne Anmeldung verketten. Der Hersteller hat sie am 8. September in Version 2.9.4 gehärtet, die öffentlichen CVE-Einträge folgten erst am 15. November. Vereine mit Spendenteams sollten prüfen, welche Version bei ihnen läuft.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat die Sicherheitslücken CVE-2026-82568 und CVE-2026-82663 im WordPress-Add-on Give Peer-to-Peer bewertet, die NVD führt sie seit dem 15. November.[1] Wordfence vergibt für beide 7,5 von 10 Punkten (CVSS 3.1, hoch). Der Hersteller GiveWP, Teil des US-Hosters Liquid Web, nennt Version 2.9.4 vom 8. September als Korrektur, die aktuelle Version 2.9.7 stammt vom 27. Oktober.[2]
Das Wichtigste in Kürze
- Angreifer brauchen kein Konto, aber eine bestehende Kampagne. Bei der zweiten Lücke kommen die Kennungen von Kampagne und Team hinzu.
- Einzeln erlauben die Lücken das Auslesen von Datenbankinhalten und das Ändern von Team-Einstellungen. Verkettet führen sie laut Wordfence zu Schadcode.
- Angriffe sind nicht bekannt, die CVEs fehlen im CISA-Katalog ausgenutzter Lücken (Abgleich am 15. November).
- Der NVD-Eintrag der zweiten Lücke nennt Versionen bis 2.9.5, der Hersteller 2.9.4. Spielen Sie deshalb 2.9.7 ein.
Wie werden aus zwei Lücken Schadcode?
Give Peer-to-Peer erweitert das Spendenplugin GiveWP um Kampagnen, bei denen Teams und einzelne Fundraiser für einen Verein sammeln.[2] Das Add-on steht nicht im Plugin-Verzeichnis von wordpress.org, eine Installationszahl gibt es deshalb nicht.
Die erste Lücke ist eine zeitbasierte SQL-Injection bei der Sortierung von Kampagnen, über sie lassen sich laut Wordfence Daten aus der Datenbank auslesen.[1] Die zweite ist eine fehlende Berechtigungsprüfung. Mit den Kennungen einer bestehenden Kampagne und eines Teams ändert ein Angreifer Name, Beschreibung, Spendenziel, Zugriff und Benachrichtigungen des Teams und lädt erlaubte Medien als verwaiste Anhänge hoch.[1] Zusammen ergeben beide laut Wordfence Schadcode ohne Anmeldung. Den Weg nennt der NVD-Text nicht, und dieser Artikel rekonstruiert ihn bewusst nicht.
Dass Einzelwerte hier täuschen, zeigt der CVSS-Vektor. Die SQL-Injection betrifft nur die Vertraulichkeit, die Berechtigungslücke nur die Integrität. Die Wirkung der Kette steckt in keinem der beiden Werte von 7,5.[1]
Warum kam der CVE-Eintrag erst 68 Tage nach dem Patch?
Laut Änderungsprotokoll hat der Hersteller beide Stellen am 8. September gehärtet, die NVD veröffentlichte die Einträge 68 Tage später.[1][2] Betreiber, die ihre Updates an CVE-Meldungen koppeln, hatten in dieser Zeit keinen Anlass. Angreifer dagegen können Versionsstände vergleichen und so die geänderten Stellen finden.
Die Angaben passen zudem nicht ganz zusammen: Der NVD-Eintrag der Berechtigungslücke nennt Versionen bis 2.9.5, das Änderungsprotokoll verbucht die Härtung schon in 2.9.4.[1][2] Welche Angabe stimmt, ist offen. Sicherheitshalber gilt 2.9.7 als Mindeststand.
Die NVD führte seit Juli 33 Einträge zum Kernplugin, im August stand dort laut Patchstack eine Lücke mit CVSS 10,0. Vereine und Stiftungen speichern über Spendenkampagnen Namen, Anschriften und Beträge ihrer Unterstützer, bei einem Zugriff auf diese Daten greift die Meldepflicht nach Art. 33 DSGVO.
Zwei Lücken mit je 7,5 Punkten ergeben zusammen Schadcode ohne Anmeldung. Die Einzelwerte verschweigen das.
Markus Seyfferth, Chefredakteur Dr. Web
Die beiden Lücken im Vergleich
| Lücke | Klasse | Voraussetzung | Betroffen laut NVD |
|---|---|---|---|
| CVE-2026-82568 | SQL-Injection (zeitbasiert) | Kampagne vorhanden | bis 2.9.3 |
| CVE-2026-82663 | Fehlende Berechtigungsprüfung | Kennungen von Kampagne und Team bekannt | bis 2.9.5 (Hersteller: gehärtet in 2.9.4) |
Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt. Verkettet laut Wordfence Schadcode ohne Anmeldung.
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie Give Peer-to-Peer in Version 2.9.7 oder neuer ein. Weil das Add-on nicht aus dem Plugin-Verzeichnis kommt, prüfen Sie, ob Ihre Lizenz Updates liefert, und halten Sie auch GiveWP selbst aktuell.
- Kampagnen prüfen: Suchen Sie bei Teams nach Änderungen, die niemand vorgenommen hat, und in der Mediathek nach Dateien ohne zugehörigen Beitrag.
- Nach Spuren suchen: Kontrollieren Sie die Benutzerliste auf Administratoren, die Sie nicht angelegt haben, und die Website-Dateien auf Änderungen seit September.
- Meldepflicht klären: Waren Spenderdaten erreichbar und gibt es Anzeichen für einen Zugriff, prüfen Sie die Meldung binnen 72 Stunden (Art. 33 DSGVO).[3]
Agenturen mit Vereinskunden aktualisieren zuerst Websites mit laufenden Spendenaktionen. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, sichere Zugänge behandelt der Beitrag über unsichere Login-Daten, Hoster mit eigener Firewall nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücken bei Give Peer-to-Peer
Welche Version schließt die Sicherheitslücken bei Give Peer-to-Peer?
Laut Änderungsprotokoll härtet Version 2.9.4 vom 8. September beide Stellen. Der NVD-Eintrag der zweiten Lücke nennt Versionen bis 2.9.5, deshalb gilt die aktuelle Version 2.9.7 vom 27. Oktober als sicherer Mindeststand.
Brauchen Angreifer ein Konto?
Nein, beide Lücken betreffen unangemeldete Angreifer. Voraussetzung ist mindestens eine Peer-to-Peer-Kampagne, bei der zweiten Lücke zusätzlich die Kennung von Kampagne und Team.
Wird Give Peer-to-Peer schon angegriffen?
Bis zum 15. November 2026 liegen keine Berichte über Angriffe vor, beide CVEs stehen nicht im CISA-Katalog ausgenutzter Schwachstellen. Wordfence hält eine Verkettung zu Schadcode ohne Anmeldung für möglich.
Ist auch das Plugin GiveWP selbst betroffen?
Die beiden CVEs betreffen laut NVD nur das Add-on Give Peer-to-Peer. Das Kernplugin GiveWP hatte im Herbst eigene Sicherheitslücken, wir haben darüber berichtet. Halten Sie beide Teile aktuell.
Quellen
3 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-82568 und CVE-2026-82663 mit Beschreibung und Bewertung von Wordfence, aufgenommen am 15. November 2026, abgerufen am 15. November 2026
- GiveWP (Liquid Web)Änderungsprotokoll von Give Peer-to-Peer Fundraising (Version 2.9.4 vom 8. September, 2.9.7 vom 27. Oktober 2026), abgerufen am 15. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen
- Schwere Sicherheitslücke bei Everest Forms im Datei-Upload
- Schwere Sicherheitslücke bei Forminator in Registrierungsformularen
- Schwere Sicherheitslücke bei Widget Options in der Anzeigelogik
- Schwere Sicherheitslücke bei Optimole beim Umbenennen von Medien
- CISA listet Sicherheitslücke im WordPress-Kern als ausgenutzt
