CVE-2026-12417: Kritisk fejl i SignUp & SignIn plugin
Kritisk sårbarhed i WordPress-pluginet SignUp & SignIn giver angribere uden login fuld overtagelse af administratorkonti.
Hvad er det?
CVE-2026-12417 er en fejl i WordPress-pluginet SignUp & SignIn i alle versioner til og med 1.0.0. Fejlen sidder i pluginets funktion til nulstilling af adgangskode, som ikke tjekker om brugeren er logget ind, og som kun sammenligner en kode fra angriberen med en brugeroplysning, der som udgangspunkt er tom. Har en bruger aldrig bedt om nulstilling af sin adgangskode, kan angriberen derfor sende en tom eller udeladt kode og alligevel bestå tjekket. Dermed kan enhver sætte en ny adgangskode på en vilkårlig konto, også administratorkontoen, uden at kende den nuværende adgangskode og uden at være logget ind.
Hvem rammer det?
Alle websites, der kører WordPress med pluginet SignUp & SignIn i version 1.0.0 eller ældre. Det gælder typisk mindre og mellemstore virksomheder samt foreninger, der bruger pluginet til brugerregistrering og login på deres hjemmeside. Er pluginet aktivt, er sitet sårbart uanset hvor mange brugere det har.
Hvad kan ske?
En angriber kan uden at logge ind overtage enhver konto på sitet, herunder administratorkontoen. Med administratoradgang kan angriberen ændre indhold, installere skadelig kode, oprette bagdøre eller stjæle kundedata. For en dansk virksomhed betyder det risiko for datalæk, hjemmesiden bliver brugt til at sprede skadelig software til besøgende, eller at sitet mister omdømme og søgemaskineplacering, hvis det bliver misbrugt.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kræver hverken login, rettigheder eller at nogen klikker på noget. Angrebet foregår med en simpel forespørgsel over internettet direkte mod sitets admin-ajax.php-funktion. Der er ikke oplyst kendt aktiv udnyttelse på offentliggørelsesdatoen, men den tekniske beskrivelse er så detaljeret, at den reelt fungerer som en opskrift på angrebet.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis I bruger SignUp & SignIn.
- Deaktivér pluginet SignUp & SignIn med det samme, indtil der findes en opdateret version, der retter fejlen.
- Undersøg om administratorkontoen eller andre brugerkonti er blevet ændret uden jeres viden, ved at tjekke logninger og seneste adgangskodeskift.
- Skift adgangskoder på alle administratorkonti og andre kritiske brugere som en sikkerhedsforanstaltning.
- Gennemgå sitet for uautoriserede ændringer, nye brugere eller ukendte filer, der kan være tegn på at nogen allerede har misbrugt sårbarheden.
- Hold øje med om der udkommer en opdateret version af pluginet, og installer den, når den er tilgængelig.
- Er I i tvivl om, hvorvidt sitet allerede er kompromitteret, eller mangler I ressourcer til at gennemgå loggen, så bør I hente hjælp fra en it-sikkerhedsrådgiver.
Deaktiver pluginet straks
Vi anbefaler, at I deaktiverer SignUp & SignIn på jeres WordPress-site med det samme og ikke venter på en opdatering, da der endnu ikke er offentliggjort en rettet version. Kør samtidig en gennemgang af brugerkonti og adgangskoder, så I er sikre på, at ingen har misbrugt hullet inden det blev lukket. Det er ikke forsvarligt at vente til en fast opdateringsdag eller weekenden med denne type sårbarhed, da angrebet kræver hverken login eller brugerinteraktion.
Tidslinje
Konkrete eksempler
Overtagelse af administratorkonto på en foreningshjemmeside
En dansk forening bruger SignUp & SignIn til medlemslogin på sin hjemmeside. En angriber finder pluginet via en automatisk scanning af WordPress-sider, sender en forespørgsel med foreningens administrator-id og en ny adgangskode, og logger derefter ind som administrator. Angriberen indsætter skadelig kode på siden, som senere spreder malware til foreningens medlemmer, når de besøger hjemmesiden.
Ofte stillede spørgsmål
Bruger vi det sårbare plugin?
Gå til Plugins i jeres WordPress-administration og se, om SignUp & SignIn er installeret og aktiveret. Er versionen 1.0.0 eller ældre, er sitet sårbart.
Kan vi vente til weekenden med at gøre noget?
Nej. Sårbarheden kræver hverken login eller at nogen klikker på noget, så den kan udnyttes automatisk og hurtigt. Deaktivér pluginet med det samme.
Hvordan ved vi, om vi allerede er ramt?
Tjek om administratorkontoen har fået skiftet adgangskode uden jeres viden, om der er oprettet nye brugere I ikke genkender, eller om der findes ukendte filer på serveren. Er I i tvivl, bør I få en sikkerhedsgennemgang foretaget.
Er der en opdatering, vi bare kan installere?
Der er ikke oplyst en rettet version på offentliggørelsesdatoen. Indtil da er deaktivering af pluginet den eneste sikre løsning.
Skal vi anmelde hændelsen?
Har I konstateret, at persondata er blevet tilgået eller ændret uden lovlig adgang, skal I vurdere anmeldelse til Datatilsynet efter reglerne om brud på persondatasikkerheden. Kontakt en rådgiver, hvis I er i tvivl.
Kan vi bare skifte adgangskoder i stedet for at deaktivere pluginet?
Nej. Så længe pluginet er aktivt med den sårbare funktion, kan angriberen bare sætte en ny adgangskode igen. Deaktivering af pluginet er nødvendig, indtil der findes en rettelse.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The SignUp & SignIn plugin for WordPress is vulnerable to Authentication Bypass via Weak Password Reset Validation leading to Account Takeover in versions up to, and including, 1.0.0. This is due to the `pravel_change_password()` AJAX handler — registered via `wp_ajax_nopriv_pravel_change_password` and therefore accessible to unauthenticated users — performing no nonce verification, no capability check, and only a loose equality check between an attacker-supplied `reset_activation_code` POST parameter and the target user’s `forgot_email` user meta value; when a user has never initiated a password reset, `get_user_meta()` returns an empty string that trivially satisfies this check against an omitted or empty attacker-supplied code. This makes it possible for unauthenticated attackers to change the password of any WordPress user, including administrators, by sending a crafted POST request to `admin-ajax.php` with `action=pravel_change_password`, `reset_user_id` set to the target account’s user ID, and `new_password_custom` set to an attacker-chosen password. Successful exploitation allows the attacker to authenticate with the newly set password and fully take over the targeted account, achieving administrator-level privilege escalation on the affected site.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.