CVE-2026-12407: Rettighedsfejl i E2Pdf til WordPress
En sårbarhed i WordPress-pluginnet E2Pdf (CVE-2026-12407) lader brugere med bestemte roller gøre sig selv til administrator. Opdatér pluginnet.
Hvad er det?
CVE-2026-12407 er en fejl i adgangskontrollen i WordPress-pluginnet E2Pdf – Export Pdf Tool, i alle versioner til og med 1.32.26. Fejlen kaldes mangelfuld adgangskontrol (CWE-862) og betyder, at pluginnets kode ikke tjekker godt nok, hvem der må udføre en handling. Konkret mangler funktionen screen_action() både en rettighedskontrol og et sikkerhedstjek kaldet nonce, som normalt bekræfter, at et request kommer fra en gyldig handling på hjemmesiden. En bruger kan derfor sende data direkte til funktionen update_option(), som gemmer indstillinger i WordPress, og dermed ændre systemindstillinger, den ikke burde have adgang til, herunder hvilken rolle nye brugere automatisk får tildelt.
Hvem rammer det?
Det rammer alle WordPress-sider, der bruger E2Pdf – Export Pdf Tool i version 1.32.26 eller ældre. Sårbarheden kræver, at en administrator har tildelt pluginnets rettighed e2pdf_templates til en brugerdefineret rolle, for eksempel Abonnent, Bidragyder, Forfatter eller Redaktør, hvilket pluginnets eget rettighedspanel gør muligt. Virksomheder, der har flere brugere med sådanne roller på deres hjemmeside, for eksempel eksterne skribenter eller freelancere, er særligt udsatte.
Hvad kan ske?
En bruger med en af de nævnte roller kan udnytte fejlen til at ændre systemindstillingen default_role, som bestemmer, hvilken rolle nye brugere får ved oprettelse. Ved at sætte den til administrator og derefter oprette en ny bruger, eller ved at manipulere andre indstillinger direkte, kan brugeren opnå fulde administratorrettigheder på hjemmesiden. Med administratoradgang kan angriberen installere skadelig kode, ændre indhold, stjæle data fra formularer og databaser eller bruge sitet til at sende spam eller angreb videre.
Hvor alvorligt er det?
CVSS-score er 8,8 ud af 10, alvorlig. Angrebet kræver kun en gyldig brugerkonto med lave rettigheder (PR:L) og ingen brugerinteraktion fra andre. Det kan gennemføres over netværket uden avancerede tekniske forudsætninger (AC:L). Konsekvensen er høj på alle tre parametre: fortrolighed, integritet og tilgængelighed, fordi angriberen kan opnå fuld kontrol over hjemmesiden. Der er ikke offentlig dokumentation for aktiv udnyttelse på offentliggørelsesdatoen, men fejlen er let at udnytte for en bruger, der allerede har en konto.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér pluginnet E2Pdf – Export Pdf Tool til en version nyere end 1.32.26 med det samme.
- Gennemgå jeres brugerroller i WordPress og kontrollér, om pluginnets rettighed e2pdf_templates er tildelt til Abonnent, Bidragyder, Forfatter eller Redaktør. Fjern den, hvis den ikke er nødvendig.
- Kontrollér systemindstillingen default_role under Indstillinger og Generelt. Er den sat til Administrator, uden at I selv har gjort det, er sitet sandsynligvis kompromitteret.
- Gennemgå listen over administratorbrugere for konti, I ikke genkender, og fjern dem.
- Skift adgangskoder for alle administratorer og gennemgå loginlog for uventet aktivitet.
- Kontakt os eller jeres it-leverandør, hvis I finder tegn på uautoriseret adgang, eller hvis I ikke selv kan verificere brugerroller og indstillinger.
Opdatér inden for 7 dage
Vi anbefaler, at I opdaterer E2Pdf-pluginnet med det samme og samtidig gennemgår, hvilke roller på jeres hjemmeside har fået tildelt pluginnets rettigheder. Det er kun forsvarligt at vente, hvis ingen brugere uden for jeres it-afdeling har adgang til WordPress-administrationen, og selv da bør opdateringen ske ved næste planlagte vedligeholdelse.
Tidslinje
Konkrete eksempler
Freelance-skribent med Redaktør-rolle
En dansk virksomhed har oprettet en Redaktør-konto til en ekstern skribent, der skal lægge blogindlæg op via WordPress. Skribenten opdager, at rollen har fået tildelt E2Pdf-rettigheden e2pdf_templates, og bruger den til at ændre default_role til Administrator. Herefter opretter skribenten en ny brugerkonto, der automatisk får administratorrettigheder, og får dermed fuld kontrol over hjemmesiden.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres hjemmeside kører WordPress-pluginnet E2Pdf – Export Pdf Tool i version 1.32.26 eller ældre. Tjek versionen under Plugins i WordPress-administrationen.
Hvordan tjekker vi, om vi er sårbare i praksis?
Gå til pluginnets rettighedspanel og se, om rettigheden e2pdf_templates er givet til andre roller end Administrator. Hvis kun administratorer har rettigheden, er risikoen for udnyttelse lav, men pluginnet bør stadig opdateres.
Kan vi vente til weekenden med at opdatere?
Hvis ingen eksterne brugere eller medarbejdere med lave rettigheder har adgang til jeres WordPress-login, kan I vente kort tid. Har I flere brugerkonti med roller som Redaktør eller Forfatter, bør opdateringen ske samme dag.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at fejlen er blevet udnyttet, for eksempel en ny administratorkonto, I ikke kender, eller ændret default_role. I så fald skal I vurdere, om persondata er blevet kompromitteret, og om det udløser anmeldelsespligt til Datatilsynet.
Er det nok at fjerne pluginnets rettighed fra andre roller?
Det reducerer risikoen akut, men løser ikke den underliggende fejl i koden. I bør stadig opdatere pluginnet, så snart en rettet version er tilgængelig.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The E2Pdf – Export Pdf Tool for WordPress plugin for WordPress is vulnerable to Missing Authorization in versions up to, and including, 1.32.26. This is due to the screen_action() function lacking a dedicated capability check and nonce verification — when invoked via the ?action=screen routing path the controller’s index_action() nonce gate is bypassed entirely — while reading an attacker-controlled option name and value from $_POST[‘wp_screen_options’] and passing them directly to update_option() with no allowlist, relying solely on the page-level e2pdf_templates capability which the plugin’s own Permissions UI allows administrators to grant to any role including Subscriber, Contributor, Author, or Editor. This makes it possible for authenticated attackers, with a custom role that has been granted the e2pdf_templates capability, to overwrite arbitrary WordPress options such as default_role and thereby escalate their privileges to administrator.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.