CVE-2026-12793: Kritisk hul i JetFormBuilder til WordPress
JetFormBuilder til WordPress (CVE-2026-12793) lader angribere uden login oprette administratorbrugere. Opdatér pluginet nu.
Hvad er det?
JetFormBuilder er et udbredt plugin til WordPress, der bruges til at bygge formularer med blokke direkte i redigeringen. CVE-2026-12793 er en fejl i rettighedsstyring (CWE-269), hvor pluginet ikke kontrollerer, at et indsendt formular-id faktisk hører til en JetFormBuilder-formular, før indholdet af det tilhørende opslag fortolkes som et formularskema, og en serverside-funktion til avanceret validering køres. Ved at manipulere formular-id’et kan en angriber få pluginet til at udføre en vilkårlig funktion på serveren, som ender med at oprette en ny bruger med administratorrettigheder, helt uden at være logget ind.
Hvem rammer det?
Alle danske virksomheder og organisationer, der driver en WordPress-hjemmeside med pluginet JetFormBuilder installeret i version 3.6.2 eller ældre, er ramt. Det gælder typisk virksomheder, der bruger formularer til kontakt, ansøgninger, tilmeldinger eller kundeservice på deres hjemmeside eller webshop. Sårbarheden kræver ikke, at formularerne aktivt bruges, kun at pluginet er installeret og aktiveret på sitet.
Hvad kan ske?
En angriber kan uden at logge ind oprette en ny administratorbruger på hjemmesiden. Med administratoradgang kan angriberen installere skadelig kode, ændre sidens indhold, stjæle kundedata indtastet i formularer eller bruge hjemmesiden som platform til at sende spam eller angribe andre systemer. For en dansk virksomhed betyder det typisk driftsstop, risiko for tab af kundedata og et omfattende oprydningsarbejde for at fjerne angriberens adgang og eventuel skadelig kode igen.
Hvor alvorligt er det?
CVSS-scoren er 9,8 af 10, den højeste alvorlighedsgrad. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over internettet med lav teknisk kompleksitet. Der er ikke offentligt kendte bekræftede tilfælde af udnyttelse, men fordi sårbarheden er let at udnytte og giver fuld administratoradgang, må den forventes at blive udnyttet automatisk af angribere, der scanner internettet for sårbare WordPress-sider.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen for jeres hjemmeside.
- Opdatér pluginet JetFormBuilder til den nyeste version straks. Det lukker selve sårbarheden.
- Gennemgå listen over administratorbrugere på WordPress-sitet, og fjern konti, I ikke selv har oprettet.
- Skift adgangskoder for eksisterende administratorer, hvis I finder ukendte konti eller mistænkelig aktivitet.
- Gennemse loginlogs og formularaktivitet for usædvanlige forsøg omkring dagen for offentliggørelsen og fremefter.
- Overvej at deaktivere pluginet midlertidigt, hvis opdateringen ikke kan installeres med det samme.
- Kontakt en it-sikkerhedsrådgiver, hvis I finder tegn på, at der allerede er oprettet en ukendt administratorkonto på jeres site.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer JetFormBuilder til nyeste version i dag, og at I samtidig kontrollerer listen over administratorbrugere på sitet. Det er en enkel opdatering, der lukker en meget kritisk sårbarhed, og den bør ikke vente til en fast opdateringsrunde. Det er kun i orden at afvente, hvis pluginet allerede er deaktiveret eller afinstalleret på det pågældende site.
Tidslinje
Konkrete eksempler
Kontaktformular bliver indgang for angriber
En dansk håndværksvirksomhed bruger JetFormBuilder til en kontaktformular på sin hjemmeside. En angriber udnytter sårbarheden til at oprette en administratorkonto uden at logge ind, installerer derefter skadelig kode på sitet og bruger det til at sende spam via virksomhedens domæne. Virksomheden opdager først problemet, da hostingudbyderen lukker sitet ned for uregelmæssigheder.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version?
Log ind i WordPress-administrationen, gå til Plugins, og find JetFormBuilder – Dynamic Blocks Form Builder. Versionsnummeret står under pluginets navn. Er det 3.6.2 eller ældre, er sitet sårbart.
Kan vi vente med opdateringen til weekenden?
Det kan vi ikke anbefale. Sårbarheden kræver ingen login og kan udnyttes automatisk af scanninger på internettet. Vi anbefaler at opdatere samme dag, opdateringen bliver tilgængelig.
Er vi allerede blevet ramt?
Tjek listen over administratorbrugere på jeres WordPress-site for konti, I ikke kan genkende. Gennemse også loginlogs for usædvanlig aktivitet. Findes der en ukendt administrator, bør I betragte sitet som kompromitteret.
Skal vi anmelde det, hvis vi bliver ramt?
Bliver personoplysninger fra formularer eller kundedata kompromitteret, skal I vurdere anmeldelsespligt efter databeskyttelsesloven og eventuelt anmelde til Datatilsynet inden 72 timer efter, I bliver bekendt med bruddet.
Hvad hvis vi ikke kan opdatere pluginet med det samme?
Deaktivér pluginet midlertidigt, indtil opdateringen kan installeres. Det fjerner sårbarheden, men formularerne på sitet vil ikke fungere i mellemtiden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post’s content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.