--- title: "GiveWP 4.19.1 以下（CVE-2026-118193）: 寄付者の既定ロール設定を悪用し、管理者権限を持つアカウントを量産できる（CVSS 8.8、Manager 権限が必要）" url: https://n-t-p.io/worldsecurity/articles/givewp-donor-default-role-privilege-escalation-cve-2026-118193 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 高 cve: CVE-2026-118193 --- # GiveWP 4.19.1 以下（CVE-2026-118193）: 寄付者の既定ロール設定を悪用し、管理者権限を持つアカウントを量産できる（CVSS 8.8、Manager 権限が必要） > **TL;DR:** GiveWP 4.19.1 以下で、寄付者の既定ロール設定の検査が不十分なうえ、設定インポートでは検査を通らず、Manager 権限以上のユーザーが新規の寄付者アカウントに Administrator を付けられる（CVE-2026-118193、CVSS 8.8）。修正版の特定は未確認。 **要点** - 寄付者の既定ロール `donor_default_user_role` の保存検査は「administrator」の文字列比較だけ。保存経路では Editor などが通り、インポート経路（`update_option()` 直書き）では Administrator も通る（CWE-269）。 - 要るのは GiveWP Manager（`manage_give_settings`）以上のログイン済みアカウント（PR:L）。CVSS 8.8 のため high。新規寄付者のアカウントに高権限ロールが付く。 - 対象は 4.19.1 以下。最新版は 4.19.1.1（11/3）だが、これが修正版かは未確認。更新と、既定ロールの設定・最近作られたユーザーの点検（推定）。 - KEV 掲載なし、EPSS は未算出。悪用・概念実証・修正内容・NVD の最終評価は未確認。 WordPress の寄付プラグイン GiveWP の 4.19.1 以下に、権限昇格の欠陥（CVE-2026-118193）が登録されました。NVD への登録は 2026-11-05、評価元は Wordfence（CNA）で、NVD 自身の評価はまだありません（状態は Deferred）。 ## 何が起きるか - GiveWP には、寄付者が新規登録したときに作る WordPress ユーザーへ割り当てる役割（ロール）を決める設定 `donor_default_user_role` があります。 - 設定を保存する処理 `sanitize_option_donor_default_user_role()` は、「administrator」という文字列かどうかを調べるだけです。GiveWP 自身が持つ安全なロールの許可リスト（`give_get_donor_safe_user_roles()`）は使われていません。このため、保存の経路では Editor や Author など管理者以外の高い権限のロールは通ります。 - さらに、設定のインポート用の AJAX 処理 `give_core_settings_import_callback()` は、取り込んだ JSON を `update_option()` で `give_settings` に直接書き込み、上の検査そのものを通しません。この経路では Administrator も保存できます。 - 保存後に新しく作られる寄付者のアカウントすべてに、そのロールが付きます。攻撃者は自分で寄付者として登録するだけで、管理者アカウントを得られます。 - 実行に要るのは GiveWP Manager ロール（`manage_give_settings` 権限）以上のログイン済みアカウントです。CWE-269（不適切な権限管理）が付いています。 ## 数値と severity - CVSS v3.1: 8.8（HIGH、AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）。評価元は Wordfence です。 - 認証が必要（PR:L）で、CVSS も 9 に届かないため、severity は high とします。ただし GiveWP Manager は WordPress の管理者そのものではなく、寄付の運営を任された人に渡すことが多い権限です。この権限のアカウントが奪われると、サイト全体の管理者権限に広がります。 - CISA の KEV には載っていません（確認時点の公開リスト）。EPSS は 11/5 時点で FIRST に値がなく、未算出です。 ## 修正の状況 - 対象は「4.19.1 以下のすべての版」です。WordPress.org のプラグイン情報では、最新版は 4.19.1.1（2026-11-03 更新）です。 - NVD の参照には、設定の保存処理 `class-settings-advanced.php` の変更（changeset 3782355）があります。この変更が欠陥の修正にあたり、4.19.1.1 に入っていると読めますが、本稿ではコードの中身を確認できていません（推定）。 ## 対策として考えられること 1. GiveWP を使っている場合は、版を確認し、4.19.1.1 以降へ更新します（修正が入った版は未確認のため、Wordfence の情報も併せて確認してください）。 2. GiveWP Manager 以上のアカウントを必要最小限にし、認証情報と二要素認証を見直します（推定）。 3. 寄付者の既定ロールの設定（`give_settings` の `donor_default_user_role`）が Donor 以外になっていないか、最近作られたユーザーに想定外の Editor・Administrator がいないかを確認します（推定）。 ## 未確認の点 - 修正が入った版（4.19.1.1 かどうか）と、変更の中身。 - Wordfence の勧告ページの中身（本稿では取得できていません）。 - 実際の悪用の有無、公開済みの概念実証コードの有無、EPSS。 - 利用サイト数。 - NVD の最終評価。 ## 出典 - [NVD CVE-2026-118193](https://nvd.nist.gov/vuln/detail/CVE-2026-118193) — NIST NVD - [Wordfence 脆弱性情報（NVD の参照先。未取得）](https://www.wordfence.com/threat-intel/vulnerabilities/id/f2ab1544-2428-4c93-b973-8280ff7a2903?source=cve) — Wordfence - [GiveWP 設定保存処理の変更（changeset 3782355）](https://plugins.trac.wordpress.org/changeset/3782355/give/trunk/includes/admin/settings/class-settings-advanced.php) — WordPress.org - [FIRST EPSS API（値なし）](https://api.first.org/data/v1/epss?cve=CVE-2026-118193) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/givewp-donor-default-role-privilege-escalation-cve-2026-118193