CVE-2026-14364: Kritisk fejl i TrueBooker til WordPress
Sårbarhed i WordPress-pluginet TrueBooker gør det muligt at overtage administratorkonti uden login. Opdatér pluginet nu.
Hvad er det?
CVE-2026-14364 er en fejl i pluginet TrueBooker, som bruges til at booke og planlægge aftaler på WordPress-hjemmesider. Fejlen ligger i funktionen til nulstilling af kodeord, som ikke tjekker tilstrækkeligt, om den person, der beder om nulstilling, faktisk er ejeren af kontoen. Det betyder, at en angriber uden brugernavn og kodeord kan bede om nulstilling af kodeord for en vilkårlig konto, herunder administratorkontoen, og selv sætte et nyt kodeord. Fejlen findes i alle versioner af pluginet til og med 1.2.3.
Hvem rammer det?
Det rammer alle danske virksomheder og organisationer, der driver en WordPress-hjemmeside med pluginet TrueBooker – Appointment Booking and Scheduler System installeret, i version 1.2.3 eller ældre. Det gælder typisk klinikker, saloner, konsulentvirksomheder og andre, der bruger hjemmesiden til at tage bookinger direkte fra kunder.
Hvad kan ske?
En angriber kan tage fuld kontrol over administratorkontoen på hjemmesiden uden at kende noget kodeord. Herfra kan angriberen ændre indhold, installere skadelig kode, oprette nye administratorkonti, stjæle kundedata fra bookingsystemet eller bruge hjemmesiden som platform til at sprede skadelig software til besøgende. For en dansk virksomhed betyder det risiko for tab af kundedata, driftsstop og skade på virksomhedens omdømme.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kræver ikke login, ikke adgang til netværket internt og ingen handling fra en bruger. En angriber skal blot kunne nå hjemmesiden over internettet for at udnytte fejlen. Kombinationen af lav kompleksitet og ingen krav om rettigheder gør det til en af de mest alvorlige typer sårbarheder, der findes.
Hvad gør jeg nu?
Følgende punkter lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér pluginet TrueBooker – Appointment Booking and Scheduler System til den nyeste version fra WordPress-plugindatabasen. Er der ikke udsendt en opdatering endnu, deaktivér pluginet, til der er.
- Tjek listen over administratorkonti på hjemmesiden for konti, I ikke selv har oprettet.
- Nulstil kodeord for alle administratorkonti, uanset om der er tegn på misbrug.
- Gennemgå loginlog og ændringer på hjemmesiden for aktivitet, I ikke kan forklare, siden pluginet blev installeret.
- Aktivér tofaktorgodkendelse for alle administratorkonti, hvis det ikke allerede er sat op.
- Er I i tvivl om, om hjemmesiden allerede er kompromitteret, eller har I ikke selv kapacitet til at gennemgå loggen, bør I hente hjælp udefra til en teknisk gennemgang.
Opdatér pluginet i dag
Vi anbefaler, at pluginet opdateres samme dag, sårbarheden bliver kendt, fordi angrebet ikke kræver login og kan udføres automatisk af angribere, der scanner internettet efter sårbare WordPress-sider. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde. Er pluginet ikke i aktiv brug på hjemmesiden, bør det deaktiveres eller afinstalleres helt, i stedet for blot at blive opdateret.
Tidslinje
Konkrete eksempler
Fysioterapiklinik mister kontrol over bookingsystem
En dansk fysioterapiklinik bruger TrueBooker til at lade patienter booke tider online. En angriber udnytter sårbarheden til at nulstille administratorkontoens kodeord uden at kende det gamle. Angriberen logger ind, ændrer klinikkens kontaktoplysninger og eksporterer patienters navne og telefonnumre fra bookingsystemet. Klinikken opdager først problemet, da patienter begynder at modtage falske sms’er om aflyste tider.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger dette plugin?
Log ind i WordPress-administrationen, gå til Plugins og se, om TrueBooker – Appointment Booking and Scheduler System står på listen, og hvilken version der er installeret. Er versionen 1.2.3 eller ældre, er hjemmesiden sårbar.
Kan vi vente til en normal opdateringsrunde?
Nej. Fejlen kræver ingen login og kan udnyttes automatisk over internettet, så vi anbefaler at opdatere pluginet samme dag, det er muligt, og ikke vente på en fast plan for opdateringer.
Hvordan ved vi, om vores hjemmeside allerede er ramt?
Tjek listen over administratorbrugere for konti, I ikke selv kender, og gennemgå loginhistorik for logins fra ukendte IP-adresser eller på usædvanlige tidspunkter. Er I i tvivl, bør en teknisk gennemgang udføres.
Skal vi anmelde dette som et sikkerhedsbrud?
Er der tegn på, at en administratorkonto er blevet overtaget og persondata er blevet tilgået eller ændret, kan det udgøre en anmeldelsespligtig databeskyttelseshændelse efter GDPR, og I bør vurdere det konkret, eventuelt med juridisk rådgivning.
Er det nok bare at ændre kodeordet på administratorkontoen?
Nej, det løser ikke problemet, hvis pluginet ikke opdateres, fordi fejlen ligger i selve nulstillingsfunktionen og kan udnyttes igen med det samme.
Påvirker fejlen kundernes bookingdata?
Ja, får en angriber administratoradgang, kan vedkommende se og ændre alle bookingdata, herunder kundenavne, telefonnumre og aftaletidspunkter, der er registreret i systemet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to account takeover via improper password reset validation in all versions up to, and including, 1.2.3. This is due to the plugin not properly validating a user’s identity before resetting their password. This makes it possible for unauthenticated attackers to reset the password of arbitrary user accounts, including administrators, and gain access to those accounts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.