CVE-2026-12692: Kritisk fejl i Vimesoft Enterprise Video Platform
Kritisk fejl i Vimesoft Enterprise Video Platform lader angribere ændre adgangskoder uden verifikation. Opdatér til 3.25.0.
Hvad er det?
CVE-2026-12692 er en sårbarhed i Vimesoft Enterprise Video Platform, hvor systemet ikke verificerer, om en anmodning om at ændre en adgangskode faktisk kommer fra den rigtige bruger. Fejltypen kaldes ‘unverified password change’ (CWE-620) og betyder, at en angriber kan sende en anmodning direkte til systemet og få ændret en anden brugers adgangskode uden at bevise, at de ejer kontoen. Det giver reel omgåelse af login, fordi angriberen bagefter kan logge ind med den nye adgangskode. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes over internettet.
Hvem rammer det?
Alle virksomheder og organisationer, der bruger Vimesoft Enterprise Video Platform i version 3.11.0.0 til og med versioner før 3.25.0. Det gælder typisk uddannelsesinstitutioner, kommuner og virksomheder, der bruger platformen til at hoste og administrere videoindhold internt eller eksternt. Er platformen tilgængelig fra internettet, øges risikoen markant.
Hvad kan ske?
En angriber kan overtage administratorkonti eller almindelige brugerkonti ved at nulstille adgangskoden uden at kende den oprindelige. Herfra kan angriberen få adgang til alt videoindhold, ændre indstillinger, slette data eller bruge platformen som indgang til resten af netværket. For en dansk virksomhed betyder det risiko for datatab, driftsstop og i værste fald spredning til andre systemer, hvis platformen deler netværk med følsomme data.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Sårbarheden kræver ingen godkendelse (PR:N), ingen brugerhandling (UI:N) og kan udnyttes over netværket med lav kompleksitet. Det betyder, at en angriber ikke behøver at narre en bruger til at klikke på noget eller kende adgangsoplysninger på forhånd. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, da angriberen kan læse, ændre og forhindre adgang til data. Der er ikke oplysninger om aktiv udnyttelse på offentliggørelsesdatoen, men den lave angrebskompleksitet gør det sandsynligt, at det bliver forsøgt hurtigt.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér Vimesoft Enterprise Video Platform til version 3.25.0 eller nyere. Det retter selve fejlen i verifikation af adgangskodeskift.
- Gennemgå logfiler for uventede adgangskodeændringer eller login fra ukendte IP-adresser i perioden før opdateringen.
- Tving alle brugere til at skifte adgangskode efter opdateringen, hvis der er mistanke om, at systemet har været eksponeret.
- Begræns adgang til platformen udefra, f.eks. via VPN eller IP-begrænsning, indtil opdateringen er gennemført.
- Aktivér to-faktor-godkendelse, hvis platformen understøtter det, så en kompromitteret adgangskode alene ikke giver adgang.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på misbrug, eller hvis I er i tvivl om, hvordan opdateringen skal håndteres i jeres opsætning.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer til version 3.25.0 hurtigst muligt, da sårbarheden kan udnyttes uden login og uden brugerhandling. Det er kun forsvarligt at vente, hvis platformen er fuldt isoleret fra internettet og fra interne netværk med følsomme data. Er I i tvivl om, hvorvidt jeres opsætning er eksponeret, bør I få det afklaret, før I venter yderligere.
Tidslinje
Konkrete eksempler
Adgangskodeovertagelse hos en dansk kommune
En kommune bruger Vimesoft Enterprise Video Platform til at dele undervisningsvideoer med borgere og medarbejdere. En angriber udnytter sårbarheden til at ændre adgangskoden på en administratorkonto uden at logge ind først. Herfra får angriberen adgang til at uploade eget indhold og ændre systemindstillinger, hvilket opdages først, da medarbejdere ikke længere kan logge ind med deres normale adgangskoder.
Ofte stillede spørgsmål
Hvordan ved vi, om vi er ramt?
Tjek jeres installerede version af Vimesoft Enterprise Video Platform. Er den mellem 3.11.0.0 og lige før 3.25.0, er I ramt og bør opdatere.
Kan vi vente til weekenden med at opdatere?
Vi fraråder det. Sårbarheden kræver hverken login eller brugerhandling, og angrebskompleksiteten er lav, så vi anbefaler at opdatere så hurtigt som muligt, ideelt inden for 48 timer.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I finder tegn på, at nogen har udnyttet sårbarheden og fået adgang til personoplysninger, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt anmelde til Datatilsynet inden for 72 timer.
Er der en midlertidig løsning, hvis vi ikke kan opdatere med det samme?
Begræns adgangen til platformen udefra via VPN eller IP-filtrering, og overvåg logfiler tæt for uventede adgangskodeændringer, indtil opdateringen kan gennemføres.
Rammer det kun administratorkonti?
Nej, fejlen kan i princippet ramme alle brugerkonti, hvor systemet ikke verificerer, hvem der anmoder om adgangskodeskift, ikke kun administratorer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Unverified password change vulnerability in Vimesoft Inc. Enterprise Video Platform allows Authentication Bypass.
This issue affects Enterprise Video Platform: from 3.11.0.0 before 3.25.0.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.