CVE-2026-12761: Kritisk fejl i miniOrange Social Login
Kritisk fejl i WordPress-pluginet miniOrange Social Login giver uautoriserede angribere fuld administratoradgang. Opdatér pluginet straks.
Hvad er det?
CVE-2026-12761 er en fejl i autentificering (CWE-287) i pluginet miniOrange Social Login and Register til WordPress, som lader brugere logge ind med Google, Discord, Twitter eller LinkedIn. Fejlen sidder i den funktion, der færdiggør en profil efter socialt login. Systemet accepterer en vilkårlig e-mailadresse fra brugeren uden at tjekke, om den hører til den konto, brugeren rent faktisk loggede ind med. Samtidig sender systemet en kode til klienten, hvorfra den lette engangskode kan regnes ud på under et sekund. Med den udregnede kode kan en angriber logge ind som en hvilken som helst bruger, inklusive administratoren, uden at kende en adgangskode.
Hvem rammer det?
Alle WordPress-sider, der bruger pluginet ‘miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn)’ i version 7.7.0 eller ældre. Det gælder både virksomhedswebsteder, webshops og kommunale sider, hvor pluginet er installeret for at give brugere mulighed for at logge ind med sociale konti.
Hvad kan ske?
En angriber kan uden login eller brugerinteraktion overtage en administratorkonto på det ramte WordPress-site. Herfra kan de installere skadelig kode, ændre indhold, stjæle kundedata fra kontaktformularer eller webshop, eller bruge sitet til at sprede malware og phishing under jeres domæne. For en dansk virksomhed betyder det typisk tabt kundetillid, GDPR-anmeldelsespligt hvis persondata er tilgængelige, og tid brugt på oprydning og gendannelse af sitet.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ikke login, ingen forudgående rettigheder og ingen handling fra en bruger, det kan gennemføres over internettet af hvem som helst, der kender sitets adresse. Der er ikke belæg for, at fejlen aktivt udnyttes i skarpe angreb pr. offentliggørelsesdatoen, men den tekniske fremgangsmåde er beskrevet så detaljeret i den offentlige rapport, at den reelt fungerer som en opskrift for angribere.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis I bruger pluginet:
- Opdatér pluginet ‘miniOrange Social Login and Register’ til den nyeste version via jeres WordPress-administration eller hostingpartner.
- Kan opdateringen ikke gennemføres med det samme, så deaktivér pluginet midlertidigt, indtil det er opdateret.
- Gennemgå listen over administratorbrugere for konti, I ikke selv har oprettet, især oprettet efter 10. juli 2026.
- Skift adgangskoder for alle administratorkonti, og tjek loginhistorik for mistænkelige logins.
- Har I ikke selv en WordPress-administrator, der kan verificere version og gennemgå brugerlisten, bør I få hjælp udefra hurtigst muligt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer pluginet med det samme, hvis I bruger det, da angrebet ikke kræver login og kan gennemføres fuldautomatisk. Er pluginet ikke i brug på jeres site, kan I vente med at handle til jeres næste planlagte gennemgang af installerede plugins, men vi anbefaler alligevel at fjerne ubrugte plugins helt. Er I i tvivl om, hvorvidt pluginet er installeret eller opdateret korrekt, bør I ikke vente, men få det tjekket nu.
Tidslinje
Konkrete eksempler
Webshop med socialt login mister administratoradgang
En dansk webshop har installeret pluginet, så kunder kan logge ind med Google eller Discord. En angriber udnytter fejlen til at udgive sig for administratoren, henter engangskoden fra den lækkede hash og logger ind som admin. Herfra ændrer angriberen betalingsoplysningerne i webshoppens indstillinger og omdirigerer fremtidige betalinger, uden at nogen ansatte bemærker det med det samme.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Gå til Plugins i jeres WordPress-administration og se, om ‘miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn)’ er installeret, og hvilken version der står. Er versionen 7.7.0 eller lavere, er I sårbare.
Kan vi vente til weekenden med at opdatere?
Nej. Fejlen kan udnyttes af hvem som helst uden login, og den tekniske fremgangsmåde er offentligt beskrevet. Vi anbefaler at opdatere samme dag, I opdager, at pluginet er installeret.
Hvordan ved vi, om vi allerede er ramt?
Tjek listen over administratorbrugere for konti, I ikke genkender, især oprettet efter 10. juli 2026. Gennemgå også loginlog og eventuelle ændringer i indhold eller nye plugins, I ikke selv har installeret.
Er vi forpligtet til at anmelde det til Datatilsynet, hvis vi er ramt?
Har en angriber fået administratoradgang og dermed adgang til personoplysninger, kan det udløse anmeldepligt efter GDPR. Vi anbefaler at vurdere dette konkret sammen med jeres databeskyttelsesrådgiver, hvis I finder tegn på kompromittering.
Er det nok bare at skifte adgangskode på administratorkontoen?
Nej. Angrebet kræver ikke kendskab til adgangskoden, så et adgangskodeskift alene lukker ikke hullet. Pluginet skal opdateres eller deaktiveres, og I bør efterfølgende tjekke for uautoriserede konti og ændringer.
Hvad gør vi, hvis vi ikke selv har en WordPress-ansvarlig?
Kontakt jeres hostingpartner eller en ekstern rådgiver, der kan verificere plugin-versionen, gennemføre opdateringen og tjekke for tegn på misbrug.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The miniOrange Social Login and Register (Discord, Google, Twitter, LinkedIn) plugin for WordPress is vulnerable to authentication bypass leading to account takeover in versions up to and including 7.7.0. This is due to the Profile Completion flow accepting an arbitrary email address via the ’email_field’ POST parameter without verifying that the email belongs to the identity returned by the OAuth provider, combined with send_otp_token() returning the SHA-512(customer_key || otp) transaction hash to the client where the OTP space is only 99,000 values (wp_rand(1000, 99999)) and the customer_key is a static option (empty on unregistered installs). This makes it possible for unauthenticated attackers to trigger an OTP email to an arbitrary admin’s address, crack the OTP offline from the leaked hash in under a second, and submit the cracked OTP to mo_openid_social_login_validate_otp(), which logs the attacker in as the user whose email was supplied — granting full administrator access.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.