CVE-2026-11775: CSRF-fejl i User Admin Simplifier
CSRF-fejl i WordPress-pluginet User Admin Simplifier kan nulstille brugeres menuindstillinger. Tjek version og opdatér eller deaktivér pluginet.
Hvad er det?
CVE-2026-11775 er en CSRF-sårbarhed (cross-site request forgery, hvor et forfalsket websted narrer en brugers browser til at sende en uautoriseret kommando) i WordPress-pluginet User Admin Simplifier, som bruges til at forenkle administrator-menuen og adminbaren for brugere. Fejlen ligger i funktionen useradminsimplifier_options_page, som ikke kontrollerer en nonce, en unik sikkerhedskode, der skal bekræfte, at en anmodning kommer fra det rigtige websted. Uden denne kontrol kan en angriber lave et link eller en side, der, når en administrator klikker på det, sender en forfalsket anmodning, som nulstiller og permanent sletter brugerens gemte menu- og adminbar-opsætning.
Hvem rammer det?
Sårbarheden rammer alle WordPress-websteder, der har installeret pluginet User Admin Simplifier i version 3.0.0 eller ældre. Det gælder danske virksomheder og foreninger, der bruger pluginet til at styre eller begrænse admin-menuen for redaktører og andre brugere. Der er ikke oplyst en rettet version, så alle nuværende installationer må anses for sårbare, indtil udvikleren udgiver en opdatering.
Hvad kan ske?
Angrebet kræver, at en administrator klikker på et forfalsket link eller besøger en ondsindet side, mens vedkommende er logget ind på WordPress-administrationen. Konsekvensen er, at brugerens gemte menu- og adminbar-indstillinger nulstilles og slettes permanent. Der hentes ingen data, og der opnås ikke adgang for angriberen, men det kan skabe forvirring, driftsstop for redaktører og tidsforbrug til at genopsætte brugerindstillinger.
Hvor alvorligt er det?
CVSS-scoren er 4,3 ud af 10, hvilket er moderat. Angrebet kræver ikke login, men kræver brugerhandling, altså at en administrator klikker på et link. Der er ingen konsekvens for fortrolighed eller tilgængelighed, kun en lav påvirkning af integritet, fordi indstillinger kan overskrives. Der er ikke rapporteret aktiv udnyttelse af sårbarheden pr. offentliggørelsesdatoen.
Hvad gør jeg nu?
Sårbarheden lukkes kun ved, at pluginet opdateres til en version, hvor nonce-kontrol er indført korrekt. Gør følgende:
- Kontrollér, om jeres websted har pluginet User Admin Simplifier installeret, og find den aktuelle version under Plugins i WordPress-administrationen.
- Opdatér til nyeste version, hvis udvikleren har udgivet en rettelse. Er der ingen rettet version tilgængelig, bør pluginet deaktiveres, indtil en opdatering findes.
- Informér administratorer om ikke at klikke på ukendte links, mens de er logget ind i WordPress-administrationen.
- Overvej at logge ud af WordPress-administrationen, når den ikke er i aktiv brug, for at reducere risikoen for forfalskede anmodninger.
- Tag en sikkerhedskopi af brugerindstillinger, så de hurtigt kan genskabes, hvis de bliver nulstillet.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om pluginet er i brug, eller hvis I har brug for hjælp til at finde en alternativ løsning.
Opdatér ved næste vedligeholdelsesvindue
Vi anbefaler, at I tjekker, om User Admin Simplifier er installeret, og opdaterer eller deaktiverer pluginet, hvis der ikke findes en rettet version. Da sårbarheden kun giver mulighed for at nulstille indstillinger, og der ikke er risiko for datalæk eller kontrolovertagelse, kan opdateringen vente til jeres næste planlagte vedligeholdelsesvindue, forudsat at I informerer administratorer om ikke at klikke på ukendte links i mellemtiden.
Tidslinje
Konkrete eksempler
Forfalsket link i en e-mail til en kommunal webadministrator
En medarbejder i en dansk kommune, som administrerer kommunens WordPress-websted, modtager en e-mail med et link, der ligner en intern besked. Medarbejderen er logget ind i WordPress-administrationen og klikker på linket, mens sessionen er aktiv. Uden medarbejderens vidende sendes en forfalsket anmodning, der nulstiller de brugerdefinerede menu- og adminbar-indstillinger for flere redaktører, hvilket kræver, at de manuelt genopsættes.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-websted har pluginet User Admin Simplifier installeret i version 3.0.0 eller ældre. Tjek under Plugins i administrationen.
Kan vi vente til weekenden med at rette det?
Ja, da sårbarheden kun kan nulstille menuindstillinger og ikke giver angriberen adgang til data eller systemet. Vent ikke længere end til næste planlagte opdatering, og informer administratorer i mellemtiden.
Kræver angrebet, at vi er logget ind?
Ja, angrebet virker kun, hvis en administrator er logget ind i WordPress og klikker på et forfalsket link eller besøger en ondsindet side, mens sessionen er aktiv.
Skal vi anmelde dette til Datatilsynet?
Nej, sårbarheden giver ikke adgang til persondata, kun mulighed for at nulstille administrative menuindstillinger. Der er derfor normalt ikke tale om en anmeldelsespligtig databrud.
Findes der en opdateret version af pluginet?
Det er ikke oplyst i sårbarhedsrapporten, om der findes en rettet version. Kontrollér plugin-siden i WordPress-administrationen eller på WordPress.org for den nyeste udgivelse.
Hvordan tjekker vi, om pluginet er blevet udnyttet?
Se efter uventede nulstillinger af menu- og adminbar-indstillinger for brugere, og gennemgå webserverens logfiler for uventede POST-anmodninger til useradminsimplifier_options_page omkring tidspunktet for ændringen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The User Admin Simplifier plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 3.0.0. This is due to missing or incorrect nonce validation on the useradminsimplifier_options_page function. This makes it possible for unauthenticated attackers to reset and permanently delete any user’s stored menu and admin-bar configuration via a forged request that triggers uas_save_admin_options() and overwrites the useradminsimplifier_options database entry via a forged request granted they can trick a site administrator into performing an action such as clicking on a link.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.