GiveWP 4.19.1 以下（CVE-2026-118193）: 寄付者の既定ロール設定を悪用し、管理者権限を持つアカウントを量産できる（CVSS 8.8、Manager 権限が必要）

WordPress の寄付プラグイン GiveWP の 4.19.1 以下に、権限昇格の欠陥（CVE-2026-118193）が登録されました。NVD への登録は 2026-11-05、評価元は Wordfence（CNA）で、NVD 自身の評価はまだありません（状態は Deferred）。

何が起きるか

• GiveWP には、寄付者が新規登録したときに作る WordPress ユーザーへ割り当てる役割（ロール）を決める設定 donor_default_user_role があります。
• 設定を保存する処理 sanitize_option_donor_default_user_role() は、「administrator」という文字列かどうかを調べるだけです。GiveWP 自身が持つ安全なロールの許可リスト（give_get_donor_safe_user_roles()）は使われていません。このため、保存の経路では Editor や Author など管理者以外の高い権限のロールは通ります。
• さらに、設定のインポート用の AJAX 処理 give_core_settings_import_callback() は、取り込んだ JSON を update_option() で give_settings に直接書き込み、上の検査そのものを通しません。この経路では Administrator も保存できます。
• 保存後に新しく作られる寄付者のアカウントすべてに、そのロールが付きます。攻撃者は自分で寄付者として登録するだけで、管理者アカウントを得られます。
• 実行に要るのは GiveWP Manager ロール（manage_give_settings 権限）以上のログイン済みアカウントです。CWE-269（不適切な権限管理）が付いています。

数値と severity

• CVSS v3.1: 8.8（HIGH、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。評価元は Wordfence です。
• 認証が必要（PR:L）で、CVSS も 9 に届かないため、severity は high とします。ただし GiveWP Manager は WordPress の管理者そのものではなく、寄付の運営を任された人に渡すことが多い権限です。この権限のアカウントが奪われると、サイト全体の管理者権限に広がります。
• CISA の KEV には載っていません（確認時点の公開リスト）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。

修正の状況

• 対象は「4.19.1 以下のすべての版」です。WordPress.org のプラグイン情報では、最新版は 4.19.1.1（2026-11-03 更新）です。
• NVD の参照には、設定の保存処理 class-settings-advanced.php の変更（changeset 3782355）があります。この変更が欠陥の修正にあたり、4.19.1.1 に入っていると読めますが、本稿ではコードの中身を確認できていません（推定）。

対策として考えられること

1. GiveWP を使っている場合は、版を確認し、4.19.1.1 以降へ更新します（修正が入った版は未確認のため、Wordfence の情報も併せて確認してください）。
2. GiveWP Manager 以上のアカウントを必要最小限にし、認証情報と二要素認証を見直します（推定）。
3. 寄付者の既定ロールの設定（give_settings の donor_default_user_role）が Donor 以外になっていないか、最近作られたユーザーに想定外の Editor・Administrator がいないかを確認します（推定）。

未確認の点

• 修正が入った版（4.19.1.1 かどうか）と、変更の中身。
• Wordfence の勧告ページの中身（本稿では取得できていません）。
• 実際の悪用の有無、公開済みの概念実証コードの有無、EPSS。
• 利用サイト数。
• NVD の最終評価。