CVE-2026-12415: Rettighedseskalering i WordPress Invoice Generator
Ukendte angribere kan uden login overtage administratorkonti i WordPress via Invoice Generator (CVE-2026-12415). Deaktivér pluginet i dag.
Hvad er det?
CVE-2026-12415 er en fejl i rettighedsstyringen i WordPress-pluginet Invoice Generator, i alle versioner op til og med 1.0.0. Fejlen ligger i en AJAX-funktion, en serverfunktion der kaldes fra browseren uden at siden genindlæses, som skal redigere brugerkonti. Funktionen kontrollerer ikke, om den, der kalder den, er logget ind eller har ret til at ændre kontoen. Den er samtidig eksponeret, så også ikke-loggede besøgende kan kalde den direkte og angive frit valgt bruger-id og en ny e-mailadresse.
Hvem rammer det?
Det rammer alle WordPress-websites, der har pluginet Invoice Generator installeret og aktivt, i version 1.0.0 eller tidligere. Det gælder typisk mindre og mellemstore virksomheder, der bruger pluginet til at sende fakturaer til kunder direkte fra deres hjemmeside. Er pluginet installeret men slukket, er sitet ikke udsat.
Hvad kan ske?
En angriber kan uden at logge ind ændre e-mailadressen på en hvilken som helst brugerkonto, herunder administratorkontoen. Bagefter beder angriberen om nulstilling af adgangskode, som WordPress sender til den nye, angribervalgte e-mail. Dermed overtager angriberen fuld administratoradgang og kan ændre indhold, installere skadelig kode, oprette nye brugere eller stjæle data fra sitet.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ingen login, ingen adgang til netværket ud over almindelig internetadgang og ingen handling fra en bruger på sitet. Fejlen er endnu ikke kendt udnyttet i praksis pr. offentliggørelsesdatoen, men den er let at udnytte automatisk, fordi hele forløbet kan scriptes.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis det allerede er sket:
- Deaktivér pluginet Invoice Generator på alle WordPress-installationer, indtil en rettet version foreligger. Det lukker hullet med det samme.
- Tjek listen over brugere i WordPress-administrationen for konti med ukendte eller ændrede e-mailadresser, især administratorkontoen.
- Nulstil adgangskoder for alle administratorkonti og gennemtving log-ud på alle enheder.
- Gennemgå seneste ændringer i sidens indhold, temafiler og pluginliste for tegn på uautoriseret adgang.
- Slå to-faktor-login til for administratorkonti, så en kapret e-mail alene ikke giver adgang.
- Er I i tvivl om, hvorvidt sitet allerede er kompromitteret, eller mangler I ressourcer til undersøgelsen, bør I søge hjælp hos et it-sikkerhedsfirma.
Deaktivér pluginet i dag
Vi anbefaler, at I deaktiverer Invoice Generator med det samme og holder øje med, om udvikleren udgiver en rettet version. Det er ikke i orden at vente til weekenden, fordi angrebet kræver hverken login eller brugerinteraktion og derfor kan udføres automatisk af scripts. Har I administratorer, der bruger sitet til fakturering dagligt, bør I finde en alternativ løsning, indtil pluginet er rettet eller udskiftet.
Tidslinje
Konkrete eksempler
Håndværksfirma taber kontrollen over sin hjemmeside
Et mindre håndværksfirma bruger Invoice Generator til at sende fakturaer direkte fra deres WordPress-side. En angriber finder pluginet via en automatisk scanning, ændrer administratorens e-mail og nulstiller adgangskoden. Angriberen får dermed fuld adgang til sitet, indsætter skadelig kode, og firmaets kunder advares senere om, at sitet spreder skadelig software.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger dette plugin?
Gå i WordPress-administrationen under Plugins og søg efter Invoice Generator. Står det som aktivt, og er versionsnummeret 1.0.0 eller lavere, er I ramt.
Kan vi vente med at gøre noget til efter weekenden?
Nej. Fejlen kræver ingen login og ingen handling fra en bruger, så et automatiseret angreb kan udføres på få sekunder. Deaktivér pluginet i dag, det er den hurtigste og mest effektive løsning.
Er vi allerede blevet ramt?
Tjek e-mailadresserne på jeres administratorkonti i WordPress under Brugere. Genkender I ikke e-mailen på en administratorkonto, eller ser I nye ukendte brugere, kan sitet være kompromitteret.
Skal vi anmelde det til Datatilsynet?
Hvis I konstaterer, at en administratorkonto er overtaget og der er adgang til personoplysninger, kan det være en anmeldelsespligtig sikkerhedsbrist. Vurder omfanget konkret, eller søg juridisk rådgivning, hvis I finder tegn på misbrug.
Er det nok at nulstille adgangskoderne uden at deaktivere pluginet?
Nej. Fejlen ligger i selve pluginets funktion og virker uafhængigt af adgangskoder. Nulstilling af adgangskode løser ikke problemet, så længe pluginet er aktivt og sårbart.
Hvornår kommer der en rettet version?
Der foreligger ingen oplysninger om en rettet version pr. offentliggørelsesdatoen. Følg udviklerens side for pluginet, og overvej et alternativt faktureringsplugin, hvis der ikke kommer en løsning inden for kort tid.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Invoice Generator plugin for WordPress is vulnerable to privilege escalation due to a missing capability check on the pravel_invoice_edit_account() AJAX action in versions up to, and including, 1.0.0. The handler is exposed via wp_ajax_nopriv_pravel_invoice_edit_account, accepts an attacker-controlled user_id and user_email from POST data, and calls wp_update_user() without verifying authentication, ownership, or a nonce. This makes it possible for unauthenticated attackers to change the email address of any user, including administrators, and then trigger WordPress’s password reset flow to gain access to the targeted account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.