CVE-2026-10196: Kritisk fejl i Mail Mint til WordPress
Kritisk fejl i Mail Mint til WordPress lader uautoriserede angribere køre kode på serveren via et udfyldelsesformular. Opdatér pluginet.
Hvad er det?
Sårbarheden findes i WordPress-pluginet Mail Mint, der bruges til nyhedsbreve og e-mailautomatisering. Fejlen er en PHP Object Injection (CWE-502), som betyder at pluginet omdanner data fra en formularindsendelse tilbage til et PHP-objekt uden at kontrollere, om dataene er til at stole på. Funktionen ‘handle_form_submission’ tager imod indsendte data fra en formular på hjemmesiden og deserialiserer dem, det vil sige genopbygger dem til programkode-objekter. Fordi pluginet også indeholder en såkaldt POP-kæde, en række eksisterende funktioner som kan kædes sammen til at udføre vilkårlig kode, kan en angriber udnytte fejlen til at få serveren til at køre egen kode. Det kræver ikke login og ingen handling fra en bruger på sitet.
Hvem rammer det?
Alle WordPress-installationer med pluginet Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails i version 1.31.0 eller ældre. En delvis rettelse blev lagt i version 1.23.1, men den lukkede ikke hele problemet. Det rammer typisk mindre og mellemstore virksomheder samt webbureauer, der bruger Mail Mint til nyhedsbreve, tilmeldingsformularer eller automatiske e-mails i forbindelse med WooCommerce-butikker.
Hvad kan ske?
En angriber kan sende et forfalsket formularsvar til sitet uden at logge ind og dermed få serveren til at afvikle egen kode. I praksis kan det føre til, at hele webserveren overtages: angriberen kan installere en bagdør, stjæle kundedata og adgangskoder fra databasen, ændre eller lukke hjemmesiden, eller bruge serveren som afsæt for spam eller yderligere angreb mod netværket.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kan udføres over internettet, kræver ingen login og ingen handling fra en ansat eller kunde. Det er teknisk enkelt at udføre (lav kompleksitet), og konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed. Der er ikke oplyst offentligt kendt udnyttelse på offentliggørelsestidspunktet, men fejlen er let at afprøve, og risikoen bør behandles som reel.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér Mail Mint til den nyeste version, der retter fejlen fuldt ud. Den delvise rettelse i 1.23.1 er ikke tilstrækkelig.
- Kan pluginet ikke opdateres med det samme, deaktivér formularfunktionen ‘handle_form_submission’ eller sæt hele pluginet fra, indtil opdateringen er gennemført.
- Gennemgå serverlogfiler for usædvanlige POST-forespørgsler til formularendepunkter i perioden efter offentliggørelsen.
- Skift adgangskoder til WordPress-administratorer og databasebrugere, hvis I finder tegn på uautoriseret adgang.
- Tag en frisk sikkerhedskopi af sitet, når opdateringen er verificeret, og gem den uden for produktionsmiljøet.
- Er sitet allerede kompromitteret, eller er I i tvivl om, hvordan I læser logfiler for tegn på angreb, bør I hente hjælp fra en it-sikkerhedsleverandør.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Mail Mint til nyeste version så hurtigt som muligt, da sårbarheden er kritisk og kan udnyttes uden login. Har jeres site ikke pluginet aktivt eller kører det allerede en version nyere end 1.31.0, kan opdateringen vente til næste planlagte vedligeholdelsesvindue. Er I i tvivl om, hvilken version I kører, bør I tjekke det i dag frem for at vente.
Tidslinje
Konkrete eksempler
Nyhedsbrevsformular misbruges til at overtage server
En dansk detailvirksomhed bruger Mail Mint til at samle nyhedsbrevstilmeldinger på deres WooCommerce-butik. En angriber sender et manipuleret dataindhold til formularens indsendelsesfunktion uden at logge ind. Serveren genopbygger data til programobjekter, og angriberen udnytter en kædet funktionssekvens til at få serveren til at køre egen kode. Angriberen opretter en bagdør og får adgang til kundedatabasen med navne, e-mails og ordrehistorik.
Ofte stillede spørgsmål
Hvordan tjekker vi, om vi bruger den sårbare version?
Log ind i WordPress-administrationen, gå til Plugins, og se versionsnummeret ud for Mail Mint. Er det 1.31.0 eller lavere, er sitet sårbart og bør opdateres.
Er vi ramt, hvis vi ikke bruger formularfunktionen aktivt?
Ja. Sårbarheden ligger i selve funktionen, som er tilgængelig, så længe pluginet er aktivt, uanset om I bruger formularer synligt på sitet.
Kan vi vente til weekenden med at opdatere?
Vi anbefaler ikke det. Fordi angrebet kan udføres uden login over internettet, bør opdateringen gennemføres samme dag, den bliver kendt.
Er den delvise rettelse i version 1.23.1 nok?
Nej. Ifølge NVD blev fejlen kun delvist rettet i 1.23.1. I skal opdatere til den fulde rettelse for at være beskyttet.
Skal vi anmelde det, hvis vi finder tegn på angreb?
Hvis I konstaterer, at persondata er blevet kompromitteret, skal I vurdere anmeldelsespligt til Datatilsynet inden for 72 timer efter reglerne om databeskyttelse.
Kan vi bare deaktivere pluginet i stedet for at opdatere?
Ja, det stopper angrebsvejen med det samme, men det er en midlertidig løsning. Opdatér pluginet så snart det er muligt, og aktivér det igen bagefter.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.31.0 via deserialization of untrusted input in the ‘handle_form_submission’ function. This makes it possible for unauthenticated attackers to inject a PHP Object. The additional presence of a POP chain allows attackers to execute code on the server. The vulnerability was partially patched in version 1.23.1.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.