CVE-2026-12416: Account takeover via password reset i WordPress Invoice Generator
Invoice Generator til WordPress (CVE-2026-12416) lader angribere overtage adminkonti uden login. Fjern pluginet nu.
Hvad er det?
Sårbarheden findes i WordPress-pluginet Invoice Generator og gør det muligt for angribere at overtage enhver konto på et websted, herunder administratorkonti, uden at logge ind. Fejlen ligger i funktionen, der nulstiller adgangskoder. Den tjekker en kode fra brugerens forespørgsel mod en gemt værdi i databasen, men bruger en løs sammenligning i PHP, hvor to tomme værdier fejlagtigt vurderes som lige. Da administratorer normalt aldrig har bedt om at nulstille deres kode, er deres gemte værdi tom, og angriberen kan derfor udelade koden helt og stadig bestå tjekket. Angriberen angiver blot et bruger-id og en ny adgangskode, og kontoen er overtaget.
Hvem rammer det?
Det rammer alle websteder, der kører WordPress med pluginet Invoice Generator i version 1.0.0 og alle tidligere versioner. Der findes ingen begrænsning på, hvilken konto der kan overtages, så både kundekonti og administratorkonti er i fare. Danske virksomheder, der bruger pluginet til at sende fakturaer via deres hjemmeside, er direkte berørt.
Hvad kan ske?
En angriber, der overtager en administratorkonto, får fuld kontrol over webstedet. Det betyder, at angriberen kan ændre indhold, installere skadelig kode, læse kundedata og oprette falske fakturaer med angriberens eget kontonummer. For en virksomhed, der bruger pluginet til fakturering, kan det føre til, at kunder betaler til forkerte konti, og at virksomhedens navn bliver brugt til svindel.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over netværket af hvem som helst, der kan nå webstedet. Fejlen kræver ingen særlig teknisk viden at udnytte, da den bygger på en velkendt svaghed i PHP’s sammenligningslogik. Der er ikke rapporteret om aktiv udnyttelse på offentliggørelsesdatoen, men den lave kompleksitet gør det sandsynligt, at automatiserede angreb hurtigt vil forsøge sig.
Hvad gør jeg nu?
Der er endnu ikke offentliggjort en opdateret version af pluginet, der lukker hullet. Følg disse skridt:
- Deaktivér og fjern pluginet Invoice Generator fra jeres WordPress-installation, indtil en sikker version findes.
- Undersøg jeres brugerliste for konti, der er oprettet eller ændret uden jeres kendskab, især administratorkonti.
- Nulstil adgangskoder for alle administratorer, og tving to-faktor-login, hvis det ikke allerede er aktiveret.
- Gennemgå logfiler for POST-forespørgsler til pravel_invoice_change_password for tegn på tidligere misbrug.
- Kontakt os, hvis I ikke selv kan fastslå, om konti er blevet kompromitteret, eller hvis pluginet er kritisk for jeres drift og ikke kan fjernes med det samme.
Fjern pluginet i dag
Vi anbefaler, at I fjerner pluginet Invoice Generator fra jeres websted nu, da der ikke findes en opdateret version, der retter fejlen. Det er ikke forsvarligt at vente, fordi angrebet ikke kræver login og kan automatiseres. Har I brug for fakturafunktionalitet, bør I finde et alternativt plugin, mens I undersøger, om jeres nuværende installation allerede er blevet misbrugt.
Tidslinje
Konkrete eksempler
Falske fakturaer til kunder
En dansk håndværksvirksomhed bruger Invoice Generator på deres WordPress-side til at sende fakturaer til kunder. En angriber udnytter sårbarheden til at overtage administratorkontoen, ændrer kontonummeret på fakturaskabelonen og sender falske betalingsanmodninger til virksomhedens kunder. Kunderne betaler til angriberens konto, før fejlen opdages.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-websted har pluginet Invoice Generator installeret i version 1.0.0 eller tidligere. Tjek under Plugins i jeres WordPress-administration.
Hvordan tjekker vi, om vores konto er overtaget?
Gennemgå listen over administratorer og brugere for konti, I ikke selv har oprettet, og se efter adgangskodeskift, I ikke selv har foretaget. Tjek også serverlogfiler for POST-forespørgsler til pravel_invoice_change_password.
Kan vi vente til weekenden med at reagere?
Nej. Angrebet kræver ikke login og kan udføres automatisk, så risikoen løber, indtil pluginet er fjernet eller opdateret.
Findes der en opdateret version af pluginet?
Der var ingen opdateret version tilgængelig på offentliggørelsesdatoen. Følg udviklerens side for pluginet for at se, om en rettelse kommer senere.
Skal vi anmelde dette som et sikkerhedsbrud?
Hvis I finder tegn på, at en konto faktisk er overtaget og persondata er blevet tilgået, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne. Kontakt os eller jeres databeskyttelsesrådgiver for en konkret vurdering.
Rammer det også andre plugins fra samme udvikler?
Denne sårbarhed er specifik for Invoice Generator. Vi anbefaler dog, at I gennemgår andre plugins fra samme udvikler for lignende svagheder i deres funktioner til nulstilling af adgangskode.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Invoice Generator plugin for WordPress is vulnerable to Account Takeover via Password Reset in all versions up to, and including, 1.0.0. This is due to the `pravel_invoice_change_password()` function being registered as a nopriv AJAX handler with no nonce verification and no authorization check, and performing a loose equality comparison between the supplied `reset_activation_code` POST parameter and the target user’s stored `forgot_email` user meta — a check that trivially evaluates to true (`” == ”`) for any user who has never initiated a forgot-password request, which applies to administrators under normal conditions. This makes it possible for unauthenticated attackers to supply an arbitrary user ID via the `reset_user_id` POST parameter, bypass the activation code check entirely by omitting `reset_activation_code`, and set the target account’s password to an attacker-chosen value, enabling full takeover of any account on the site, including administrator accounts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.