WordPress-Plugin-Sicherheitslücken: 5 Plugins, darunter LiteSpeed Cache

Für fünf WordPress-Plugins wurden Sicherheitslücken offengelegt. Alle sind als hoch eingestuft, mit CVSS-Werten zwischen 7,1 und 8,8. Die höchsten Werte (8,8) betreffen Rechteausweitungen in GiveWP sowie in Import and export users and customers. Das am weitesten verbreitete betroffene Plugin ist LiteSpeed Cache mit rund 7 Millionen aktiven Installationen. Dort können nicht angemeldete Besucher WooCommerce-Kundendaten aus dem Cache auslesen.

GiveWP – Donation Plugin and Fundraising Platform (100.000 aktive Installationen)

GiveWP ist in allen Versionen bis einschließlich 4.19.1 von einer Rechteausweitung betroffen (CVE-2026-118193, CVSS 8,8). Angemeldete Benutzer mit der Rolle GiveWP Manager oder höher können die Spender-Registrierung so konfigurieren, dass neue Spenderkonten erhöhte WordPress-Rollen erhalten, bis hin zu Administrator, etwa über die Funktion zum Import von Einstellungen. Aktualisieren Sie GiveWP auf die neueste Version und prüfen Sie die Standardrolle, die neuen Spendern zugewiesen wird. Falls kein Update verfügbar ist, deaktivieren und entfernen Sie das Plugin.

Import and export users and customers (70.000 aktive Installationen)

Alle Versionen bis einschließlich 2.5.11 enthalten eine Rechteausweitung in der Verarbeitung der Cron-Einstellungen (CVE-2026-120554, CVSS 8,8). Angemeldete Benutzer mit einer benutzerdefinierten Rolle, die die Berechtigung create_users, aber nicht promote_users oder edit_users besitzt, können unter bestimmten Bedingungen mit einer zuvor gespeicherten Cron-Konfiguration zum Administrator aufsteigen. Aktualisieren Sie das Plugin auf die neueste Version oder deaktivieren und entfernen Sie es, falls kein Update verfügbar ist.

LiteSpeed Cache (7.000.000 aktive Installationen)

LiteSpeed Cache bis einschließlich 7.9.1 kann sensible WooCommerce-Kundendaten für nicht angemeldete Besucher offenlegen (CVE-2026-93389, CVSS 8,2). Ist Cache REST aktiviert, was der Standard ist, werden personalisierte Antworten für Warenkorb und Kasse aus der WooCommerce Store API öffentlich zwischengespeichert und an andere Besucher ausgeliefert. Dabei werden Rechnungs- und Lieferadressen, Warenkorbinhalte und das Session-Token der Kundschaft offengelegt, was eine Session-Übernahme ermöglichen kann. Websites mit WooCommerce sollten LiteSpeed Cache auf die neueste Version aktualisieren. Falls kein Update verfügbar ist, deaktivieren und entfernen Sie das Plugin.

Motors – Car Dealership & Classified Listings Plugin (9.000 aktive Installationen)

Alle Versionen bis einschließlich 1.4.128 erlauben angemeldeten Benutzern mit Zugriff auf Subscriber-Ebene und höher, Bilddateien anderer Benutzer innerhalb von wp-content/uploads zu löschen, etwa Avatare, Händler-Logos und hochgeladene Medien (CVE-2026-116617, CVSS 8,1). Dateien außerhalb des Upload-Verzeichnisses und Dateien ohne Bildendung sind nicht erreichbar. Aktualisieren Sie das Plugin auf die neueste Version oder deaktivieren und entfernen Sie es, falls kein Update verfügbar ist.

GetPaid (5.000 aktive Installationen)

Zwei Lücken betreffen GetPaid-Versionen vor 2.8.63. Nicht angemeldete Besucher können über ein öffentliches Zahlungsformular eine negative Artikelmenge übermitteln, sodass eine Rechnung als bezahlt markiert wird, ohne dass eine Zahlung erfolgt (CVE-2026-119749, CVSS 7,5). Zusätzlich können angemeldete Benutzer mit Rollen wie Editor oder Author über die REST API Rechnungen anderer Benutzer auflisten, offene Rechnungen als bezahlt markieren oder Artikel und Rechnungen anlegen (CVE-2026-119747, CVSS 7,1). Aktualisieren Sie GetPaid auf Version 2.8.63 oder neuer.

So prüfen Sie Ihre Websites

Öffnen Sie im WordPress-Dashboard den Bereich Plugins und vergleichen Sie die installierten Versionen dieser Plugins mit den oben genannten betroffenen Versionen. Installieren Sie anschließend die verfügbaren Updates. Mit WP-CLI zeigt wp plugin list die installierten Plugins, ihre Versionen und ob Updates verfügbar sind. Mit wp plugin update <plugin-slug> aktualisieren Sie ein einzelnes Plugin. Die Slugs lauten give, import-users-from-csv-with-meta, litespeed-cache, motors-car-dealership-classified-listings und invoicing. Entfernen Sie Plugins, die nicht mehr benötigt werden.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-116617
• https://nvd.nist.gov/vuln/detail/CVE-2026-118193