CVE-2026-12407: Kritisk fejl i WordPress E2Pdf-plugin

WordPress-pluginnet E2Pdf – Export Pdf Tool (version 1.32.26 og tidligere) har en fejl i sin adgangskontrol. En funktion i pluginnet, der håndterer skærmindstillinger, mangler en korrekt kontrol af, om brugeren har lov til at foretage ændringer. Det betyder, at en angriber kan sende en særlig forespørgsel til hjemmesiden og overskrive WordPress-systemindstillinger — herunder hvilken rolle nye brugere automatisk får tildelt. Det kan bruges til at give sig selv administratoradgang. Fejltypen hedder teknisk Missing Authorization (manglende autorisationstjek), og den er registreret som CVE-2026-12407 med en CVSS-score på 8.8 ud af 10.

Sårbarheden rammer alle WordPress-hjemmesider, der kører E2Pdf-pluginnet i version 1.32.26 eller tidligere, og hvor en administrator har givet én eller flere brugere rettigheden e2pdf_templates via pluginnets eget rettighedsstyringspanel. Det er særligt relevant, hvis din hjemmeside har:

• Abonnenter, bidragydere, forfattere eller redaktører med adgang til E2Pdf-funktioner
• Et webshop- eller medlemssite, hvor mange brugere kan oprette sig selv
• En opsætning med flere medarbejdere eller freelancere med begrænset adgang

Har ingen andre end administratorer adgang til pluginnet, er risikoen lavere — men du bør stadig opdatere.

En angriber, der har en brugerkonto på din hjemmeside og er tildelt den nævnte rettighed, kan:

• Eskalere sine egne rettigheder til administrator — eksempelvis ved at ændre indstillingen for standardrolle, så nye brugere automatisk oprettes som administratorer
• Overtage hele hjemmesiden — med administratoradgang kan angriberen installere malware, oprette bagdøre, stjæle kundedata eller slette indhold
• Ændre andre kritiske systemindstillinger — da der ikke er nogen begrænsning på hvilke WordPress-indstillinger der kan overskrives

Angrebet kræver, at angriberen allerede har en brugerkonto og den specifikke rettighed. Det lyder begrænset, men i praksis kan selv en utilfreds tidligere medarbejder eller en kompromitteret medarbejderkonto udgøre en reel trussel.

Sårbarheden er vurderet til 8.8 ud af 10 (Alvorlig) efter den internationale CVSS-skala. Det skyldes:

• Angrebet kan udføres over internettet uden fysisk adgang
• Det kræver kun et lavt rettighedsniveau — altså en almindelig brugerkonto
• Angrebet er nemt at udføre og kræver ingen særlig teknisk ekspertise
• Konsekvensen er fuld kontrol over fortrolighed, integritet og tilgængelighed af din hjemmeside

Det eneste, der forhindrer karakteren i at være endnu højere, er, at angriberen skal have en eksisterende brugerkonto med en specifik rettighed.

Følg disse trin hurtigst muligt — gerne inden for de næste 24-48 timer:

1. Opdater E2Pdf-pluginnet til den nyeste version via WordPress-dashboardet under Plugins → Tilgængelige opdateringer.
2. Gennemgå brugerroller: Gå til E2Pdf’s rettighedspanel og fjern rettigheden e2pdf_templates fra alle roller, der ikke har et reelt behov for den — særligt Abonnent, Bidragyder og Forfatter.
3. Tjek WordPress-brugerlistens roller under Brugere i dashboardet. Er der nogen, der uventet er blevet administrator? Nedgrader dem øjeblikkeligt og skift adgangskoder.
4. Kontrollér indstillingen for standardrolle under Indstillinger → Generelt → Ny brugers standardrolle — den bør typisk stå på Abonnent, ikke Administrator.
5. Gennemgå aktivitetsloggen (hvis du har et logningsplugin) for mistænkelig aktivitet de seneste uger.