Security · 28.8.2026
Eine kritische Sicherheitslücke im beliebten WordPress-Spenden-Plugin GiveWP ermöglicht es Angreifern, ohne Anmeldung Schadcode auf dem Webserver auszuführen.
Eine als kritisch eingestufte Sicherheitslücke im WordPress-Plugin GiveWP bedroht zahlreiche Websites. Angreifer können über eine PHP-Objekt-Injektion Schadcode einschleusen und die vollständige Kontrolle über den zugrunde liegenden Webserver erlangen. Ein Exploit steht bereits öffentlich zur Verfügung, was die Dringlichkeit für Administratoren drastisch erhöht.
GiveWP ist eines der am häufigsten genutzten Plugins für Spenden- und Fundraising-Kampagnen auf WordPress-Basis. Auch im DACH-Raum setzen viele Non-Profit-Organisationen, Vereine und Unternehmen dieses Tool ein, um Zahlungen direkt über ihre Website abzuwickeln. Da die Schwachstelle, registriert unter CVE-2024-5932, mit dem maximalen CVSS-Score von 10,0 bewertet wurde, ist das Risiko extrem hoch. Angreifer benötigen keinerlei Authentifizierung, um beliebige Befehle auf dem Server auszuführen (Remote Code Execution, RCE). Dadurch können sensible Spenderdaten gestohlen, die Website verunstaltet oder Schadsoftware im gesamten Firmennetzwerk verteilt werden.
Betroffen sind alle Versionen des Plugins bis einschließlich 3.14.1. Administratoren müssen dringend auf die Version 3.14.2 oder höher aktualisieren, in der die Sicherheitslücke geschlossen wurde. Da bereits Proof-of-Concept-Exploits im Umlauf sind, ist ein sofortiges Handeln erforderlich. Sollte ein direktes Update aus technischen Gründen nicht möglich sein, empfiehlt sich die temporäre Deaktivierung des Plugins. Zudem sollten Administratoren die Server-Logdateien auf verdächtige POST-Anfragen an die WordPress-Validierungs-Schnittstellen überprüfen, um potenzielle Kompromittierungsversuche frühzeitig zu erkennen.
Diese Schwachstelle verdeutlicht erneut, wie verwundbar Web-Infrastrukturen durch Drittanbieter-Plugins sein können. Ein strukturiertes Patch-Management und automatisierte Sicherheits-Scans sind für IT-Verantwortliche im DACH-Raum unerlässlich, um geschäftskritische Systeme und sensible Kundendaten effektiv vor Missbrauch zu schützen.
Quelle: BleepingComputer