GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen

Markus Seyfferth

Autor Dr. Web

26. Okt. 2026

3 Min. Lesezeit

Version 4.19.0.1 des Spenden-Plugins GiveWP schließt acht Sicherheitslücken, eine davon ließ sich ohne Anmeldung ausnutzen. Im August hatte Patchstack bei GiveWP eine kritische Sicherheitslücke gemeldet, über die Fremde Befehle auf dem Server ausführen konnten. Laut wordpress.org laufen rund 69 Prozent der Installationen noch auf Versionen vor 4.19.

Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügen

Vereine und Stiftungen sammeln mit GiveWP Spenden auf der eigenen WordPress-Website, samt Namen, Anschriften und Beträgen der Spender. Mehr als 100.000 aktive Installationen zählt wordpress.org (Stand 26. Oktober),^[1] das Plugin gehört zum US-Hoster Liquid Web.^[2] Fünf der Lücken veröffentlichte die Schwachstellendatenbank WPScan am 23. Oktober mit CVE-Nummer.^[3]

Auf einen Blick

Das Wichtigste in Kürze

Version 4.19.0.1 vom 22. Oktober schließt acht Sicherheitslücken, fünf davon mit CVE-Nummer.
Ohne Anmeldung ließen sich unveröffentlichte Spendenformulare einsehen (CVSS 3.1: 5,3, vergeben von WPScan).
Die übrigen vier verlangen ein Konto mit GiveWP-Rechten (CVSS bis 6,8, mittel).
Angriffe sind nicht bekannt, Einzelheiten will WPScan am 6. November veröffentlichen.

Was schließt Version 4.19.0.1?

Weißer Blech-Spardose mit orangefarbenen Flicken und einem Zettel „Geflickt“ vor weißem Grund — GiveWP-Benutzerrollen mit kritischen Sicherheitslücken: Worker konnten fremde Seiten bearbeiten und Skripte in Formulare einschleusen

GiveWP legt vier eigene Benutzerrollen an, mit denen Mitarbeiter Spenden verwalten, ohne Administrator zu sein.^[4] Laut WPScan bekamen diese Konten zu viele Rechte: Mit der Rolle „GiveWP Worker“ ließen sich fremde Seiten bearbeiten, auch die von Administratoren, und Skripte in Spendenformulare einschleusen, die im Browser der Besucher laufen. Mit der Rolle „GiveWP Manager“ ließen sich Dateien im JSON-Format auf dem ganzen Server auslesen.^[3]

Die einzige Lücke ohne Anmeldung betrifft unveröffentlichte Formulare: Entwürfe, private und geplante Spendenformulare ließen sich samt Einstellungen öffentlich aufrufen. WPScan bewertet diese Lücke nach CVSS 3.1 mit 5,3, die übrigen mit 2,7 bis 6,8.

Warum häufen sich die Sicherheitslücken bei GiveWP?

Seit Juli hat die US-Schwachstellendatenbank NVD 33 Einträge zu GiveWP veröffentlicht.^[5] Am schwersten wog eine Lücke vom August: Über unsicher eingelesene Formulardaten im Spendenablauf konnten Fremde ohne Konto Befehle auf dem Server ausführen, bei älteren Versionen genügte eine Standardinstallation. Patchstack vergab CVSS 10,0 und wies mehrere Korrekturversuche zurück, bis Version 4.16.7.2 am 27. August die Lücke schloss.^[6] Im Oktober folgte eine Rechteausweitung ohne Anmeldung, behoben in Version 4.18.0.^[7]

Patchstack sieht eine Ursache in zwei Generationen von Spendenformularen, die GiveWP nebeneinander betreibt. Version 4.16.6 versperrte den Angriffsweg nur für Formulare aus dem neuen Editor, ein einziges altes Formular in der Datenbank öffnete ihn wieder, selbst im Papierkorb.^[6] Dieselbe Art von Sicherheitslücke im Bezahlvorgang traf im Oktober LearnPress, eine vergleichbare Serie zuletzt Ninja Forms.

Laut wordpress.org liefen am 26. Oktober 30,7 Prozent der Installationen auf einer Version 4.19, darunter auch die anfällige 4.19.0. Die übrigen 69,3 Prozent von mehr als 100.000 Installationen sind rechnerisch mindestens 69.000 Websites mit älterer Version, rund 5 Prozent stehen noch auf Version 4.14, also vor dem Patch vom August.^[1]

GiveWP-Sicherheitslücken im Steckbrief

Reichweite, Schweregrad und Updates, Stand 26. Oktober 2026

100.000

aktive Installationen und mehr zählt wordpress.org

Einträge zu GiveWP hat die NVD seit Juli veröffentlicht

10,0

Punkte nach CVSS vergab Patchstack für die Lücke vom August

69 %

der Installationen laufen auf Versionen vor 4.19

Vier Updates, die Betreiber kennen sollten

27. August

Version 4.16.7.2

Schließt die kritische Lücke, über die Fremde ohne Konto Befehle auf dem Server ausführen konnten

5. Oktober

Rechteausweitung

Patchstack meldet eine Lücke ohne Anmeldung, Version 4.18.0 behebt den Fehler

22. Oktober

Version 4.19.0.1

Acht Sicherheitskorrekturen, WPScan veröffentlicht tags darauf fünf CVE-Nummern

6. November

Angriffsdetails

WPScan will dann zeigen, wie sich die fünf neuen Lücken ausnutzen lassen

33 Sicherheitslücken in knapp vier Monaten machen GiveWP zur Daueraufgabe für jeden Verein, der damit Spenden sammelt.
Michael Dobler, Herausgeber Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie GiveWP auf Version 4.19.0.1, Voraussetzung sind WordPress 6.9 und PHP 7.4.
Updates automatisieren: In WordPress schalten Sie automatische Updates für jedes Plugin einzeln ein, ab Werk ist die Funktion aus.^[8]
Rollen prüfen: Kontrollieren Sie, welche Konten eine GiveWP-Rolle haben, und entziehen Sie nicht mehr benötigte Rechte.
Spuren suchen: Lief eine Version vor 4.16.7.2, suchen Sie nach unbekannten Administratoren und geänderten Dateien. Gerieten Spenderdaten in fremde Hände, gilt die Meldepflicht nach Art. 33 DSGVO binnen 72 Stunden,^[9] die EU-Staaten wollen die Frist auf 96 Stunden verlängern.

Agenturen mit vielen Vereinskunden gleichen die GiveWP-Versionen aller Websites ab. Welche Lücken zuerst an der Reihe sind, sortiert der Dienst WP Triage, Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates teils automatisch ein.

FAQ: GiveWP: 33 Sicherheitslücken seit Juli im Spenden-Plugin mit über 100.000 Installationen

Was ist GiveWP?

GiveWP ist ein WordPress-Plugin für Spendenformulare, Spenderverwaltung und Spendenberichte, das zum US-Hoster Liquid Web gehört. Laut wordpress.org läuft das Plugin auf mehr als 100.000 Websites, genutzt von gemeinnützigen und anderen Organisationen. Die Grundversion ist kostenlos, Erweiterungen wie wiederkehrende Spenden kosten extra.

Welche GiveWP-Version ist sicher?

Sicher ist nach dem Stand vom 26. Oktober 2026 Version 4.19.0.1 vom 22. Oktober. Betroffen von den fünf neuen Lücken sind laut WPScan alle Versionen davor. Die kritische Lücke vom August schloss Version 4.16.7.2, die Rechteausweitung ohne Anmeldung vom Oktober Version 4.18.0.

Welche Benutzerrollen legt GiveWP an?

GiveWP legt vier eigene Benutzerrollen an: GiveWP Manager, GiveWP Accountant, GiveWP Worker und GiveWP Donor. Mitarbeiter verwalten damit Spenden und Berichte, ohne Administrator zu sein. Vier der fünf neuen Lücken lassen sich nur mit einem Konto ausnutzen, das eine solche Rolle oder erweiterte Spenderrechte hat.

Werden die GiveWP-Sicherheitslücken schon ausgenutzt?

Bis zum 26. Oktober 2026 sind keine Angriffe auf die fünf neuen Lücken bekannt. Die US-Behörde CISA führt keine GiveWP-Lücke in ihrem Katalog aktiv ausgenutzter Schwachstellen. WPScan will die Einzelheiten zur Ausnutzung am 6. November 2026 veröffentlichen, bis dahin sollte das Update eingespielt sein.