CVE-2026-102361: Kritisk adgangskodefejl i mall4j
CVE-2026-102361 gør det muligt at nulstille enhver adgangskode i mall4j uden login. Opdatér eller spær endpointet i dag.
Hvad er det?
Sårbarheden findes i webshop-systemet mall4j i alle versioner op til og med 4.0. Fejlen er en manglende autentificering (CWE-306), hvilket betyder at et endepunkt i systemet ikke tjekker, om den, der kalder det, er logget ind. Konkret ligger fejlen i endpointet PUT /user/updatePwd, som skal bruges til at ændre en adgangskode. En angriber kan angive et vilkårligt brugernavn i sit kald og få adgangskoden ændret uden at skulle bevise, at kontoen tilhører dem selv.
Hvem rammer det?
Det rammer virksomheder, der driver en netbutik baseret på mall4j i version 4.0 eller ældre. Det gælder både den kundevendte webshop og eventuelle administrationsgrænseflader, der deler samme brugersystem. Er I usikre på, om I bruger mall4j, kan jeres udviklere eller hostingpartner slå det op i jeres kodebase eller changelog.
Hvad kan ske?
En angriber kan overtage enhver kundekonto, inklusive administratorkonti, ved blot at kende brugernavnet, som ofte er en e-mailadresse. Herfra får angriberen adgang til ordrehistorik, kundeoplysninger og betalingsrelaterede data. For en dansk webshop betyder det risiko for identitetstyveri af kunder, misbrug af eksisterende ordrer og et sandsynligt brud på persondataforordningen, fordi personoplysninger bliver tilgængelige for uvedkommende.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen brugerhandling fra offeret og kan udføres over internettet med lav teknisk kompleksitet. Fortrolighed og integritet af data rammes hårdt, mens systemets tilgængelighed ikke påvirkes direkte. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsestidspunktet, men sårbarheden er let at udnytte, så det bør ikke afholde jer fra at handle hurtigt.
Hvad gør jeg nu?
Følgende punkter lukker hullet og begrænser skaden, hvis nogen allerede har udnyttet det.
- Opdatér mall4j til en version, hvor endpointet PUT /user/updatePwd kræver gyldig autentificering. Tjek leverandørens repository for en rettet version.
- Findes der ingen rettet version endnu, så spær eller begræns adgangen til /user/updatePwd i jeres reverse proxy eller webapplikationsfirewall, indtil en opdatering er klar.
- Gennemgå logfiler for kald til /user/updatePwd med usædvanlige brugernavne eller høj frekvens, som kan afsløre forsøg på misbrug.
- Nulstil adgangskoder for alle brugere, hvis I finder tegn på misbrug, og informér berørte kunder.
- Vurdér, om hændelsen skal anmeldes til Datatilsynet, hvis personoplysninger er kompromitteret.
- Har I ikke selv ressourcer til at rette koden eller undersøge logfiler, så hent hjælp fra en ekstern sikkerhedsrådgiver med det samme.
Luk hullet inden for 24 timer
Vi anbefaler at spærre adgangen til det sårbare endepunkt med det samme, uanset om der findes en officiel rettelse eller ej, fordi angrebet kræver hverken login eller brugerhandling. Det er ikke forsvarligt at vente til en planlagt opdatering, når konsekvensen er fuld kontoovertagelse. Har I ikke selv kompetencerne til at ændre konfigurationen eller vurdere logfiler, bør I hente ekstern hjælp samme dag, sårbarheden bliver kendt.
Tidslinje
Konkrete eksempler
Overtagelse af kundekonto i dansk netbutik
En mindre dansk webshop bygget på mall4j opdager, at flere kunder klager over ordrer, de ikke selv har afgivet. Ved gennemgang af logfiler finder it-afdelingen gentagne kald til /user/updatePwd med kendte kundee-mails som brugernavn. Angriberen har brugt de nulstillede adgangskoder til at logge ind og se ordrehistorik samt personoplysninger.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version af mall4j?
Bed jeres udviklere eller hostingpartner om at slå versionsnummeret op i jeres kodebase eller build-filer. Alle versioner til og med 4.0 er berørt.
Kan vi vente til weekenden med at lukke hullet?
Nej. Angrebet kræver hverken login eller adgang til systemet i forvejen, så det kan udføres på et vilkårligt tidspunkt af enhver med adgang til internettet.
Hvordan tjekker vi, om nogen allerede har udnyttet sårbarheden?
Gennemgå jeres webserverlogs for kald til PUT /user/updatePwd og se efter usædvanlige brugernavne eller gentagne forsøg mod samme konto over kort tid.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at personoplysninger er blevet tilgået uden lovlig adgang, skal I vurdere anmeldepligten efter persondataforordningen inden for 72 timer fra opdagelsen.
Er alle vores kunder i fare, eller kun administratorer?
Alle konti er i fare, fordi angriberen blot skal kende brugernavnet, typisk en e-mailadresse, for at ændre adgangskoden. Det gælder både almindelige kunder og administratorer.
Løser det problemet at skifte alle adgangskoder nu?
Det hjælper midlertidigt, men løser ikke selve fejlen. Så længe endepunktet ikke kræver autentificering, kan angriberen blot nulstille adgangskoderne igen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
mall4j through 4.0 contains a missing authentication vulnerability in the PUT /user/updatePwd endpoint that allows unauthenticated attackers to reset any storefront account password. Attackers can supply a target username in the request body to overwrite passwords without verification, enabling account takeover and access to orders and personal data.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.