CVE-2026-14349: Kritisk fejl i TrueBooker til WordPress
Sårbarhed i WordPress-pluginet TrueBooker giver uautoriserede adgang til at overtage administratorkonti. Opdatér pluginet.
Hvad er det?
CVE-2026-14349 er en autorisationsfejl i WordPress-pluginet TrueBooker – Appointment Booking and Scheduler System. Fejlen betyder, at pluginet ikke tjekker, om en bruger reelt har ret til at udføre en handling, før den udføres. En autorisationsfejl (CWE-862) opstår, når et system mangler eller springer den kontrol over, der skal afgøre, om en handling er tilladt. I dette tilfælde kan en angriber uden at være logget ind ændre e-mailadressen på en vilkårlig brugerkonto, herunder administratorkonti.
Hvem rammer det?
Sårbarheden rammer alle WordPress-websites, der bruger pluginet TrueBooker – Appointment Booking and Scheduler System i version 1.2.3 eller ældre. Det gælder typisk virksomheder og foreninger, der bruger pluginet til at lade kunder booke tider, konsultationer eller behandlinger online. Både danske virksomheder, der selv driver deres WordPress-side, og bureauer, der hoster kundeløsninger, bør tjekke om pluginet er installeret.
Hvad kan ske?
En angriber kan ændre e-mailadressen på administratorkontoen og derefter bruge WordPress’ funktion til nulstilling af kodeord til at få adgang til kontoen. Herfra kan angriberen overtage hele websitet, uploade skadelig kode, ændre indhold, stjæle kundedata eller bruge sitet til at sende svindel-mails. For en dansk virksomhed betyder det i praksis, at kontrollen med hjemmesiden og eventuelle bookinger og kundedata kan gå tabt uden varsel.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller brugerhandling fra offeret, og det kan udføres over internettet med lav teknisk kompleksitet. Det gør sårbarheden nem at udnytte automatisk i stor skala. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet på offentliggørelsestidspunktet, men den lave barriere for udnyttelse betyder, at det kan ændre sig hurtigt.
Hvad gør jeg nu?
Følg disse trin for at lukke hullet og begrænse skaden:
- Opdatér pluginet TrueBooker – Appointment Booking and Scheduler System til den nyeste version fra WordPress’ pluginarkiv. Kontrollér i changelog, at versionen retter autorisationsfejlen.
- Kan pluginet ikke opdateres med det samme, deaktivér det midlertidigt, indtil en rettet version kan installeres.
- Tjek administratorkontoens e-mailadresse og alle andre brugerkonti for uautoriserede ændringer.
- Gennemgå loglisten for mistænkelig aktivitet, især ændringer i brugerkonti og kodeordsnulstillinger, i perioden op til opdateringen.
- Aktivér tofaktorgodkendelse på administratorkonti som ekstra beskyttelse mod fremtidige lignende sårbarheder.
- Er I i tvivl om, hvorvidt jeres site allerede er kompromitteret, eller mangler I ressourcer til at gennemgå logfiler, bør I hente hjælp fra en it-sikkerhedsrådgiver.
Opdatér inden for 48 timer
Vi anbefaler, at pluginet opdateres eller deaktiveres med det samme, da sårbarheden kan udnyttes uden login og uden brugerhandling. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da adgangen til hele websitet kan gå tabt i mellemtiden. Har I ikke selv overblik over, hvilke plugins der er installeret på jeres WordPress-site, anbefaler vi en hurtig gennemgang som led i den generelle vedligeholdelse.
Tidslinje
Konkrete eksempler
Booking-side for en klinik mister kontrollen over hjemmesiden
En dansk fysioterapiklinik bruger TrueBooker til at lade patienter booke tider online. En angriber udnytter sårbarheden til at ændre e-mailadressen på administratorkontoen og nulstiller kodeordet. Klinikken opdager først problemet, da hjemmesiden viser fremmed indhold, og de har på det tidspunkt mistet adgangen til både hjemmeside og patientbookinger.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Log ind i jeres WordPress-administration, gå til Plugins, og se om TrueBooker – Appointment Booking and Scheduler System står på listen. Tjek versionsnummeret under pluginets navn og sammenhold det med 1.2.3 eller ældre.
Kan vi vente med opdateringen til weekenden?
Nej. Sårbarheden kræver hverken login eller brugerhandling, og angrebet kan gennemføres automatisk. Vi anbefaler at opdatere eller deaktivere pluginet samme dag, sårbarheden opdages.
Er vores site allerede ramt?
Tjek administratorkontoens registrerede e-mailadresse og gennemgå logs for uventede ændringer i brugerkonti eller kodeordsnulstillinger. Er e-mailadressen ændret uden jeres viden, bør I antage, at kontoen er kompromitteret.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Er kundedata eller personoplysninger blevet tilgået eller ændret, kan det udløse pligt til at anmelde bruddet til Datatilsynet efter databeskyttelsesreglerne. Vi anbefaler at få en juridisk eller sikkerhedsfaglig vurdering hurtigt, hvis I mistænker et brud.
Er det nok at skifte kodeord på administratorkontoen?
Nej. Så længe pluginet ikke er opdateret, kan angriberen gentage angrebet og ændre e-mailadressen igen. Kodeordsskifte er kun en midlertidig foranstaltning, indtil pluginet er rettet eller deaktiveret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.2.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to modify the email address of arbitrary user accounts, including administrators, which can be leveraged to reset the account’s password and gain access to it.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.