CVE-2026-14365: Kritisk fejl i TrueBooker til WordPress
Fejl i WordPress-pluginnet TrueBooker gør det muligt uden login at ændre adgangskoden for enhver bruger, også administratorer. Opdatér pluginet nu.
Hvad er det?
CVE-2026-14365 er en sårbarhed i WordPress-pluginnet TrueBooker – Appointment Booking and Scheduler System, som bruges til at booke og administrere tider på hjemmesider. Fejlen skyldes en manglende autorisationskontrol (CWE-862), det vil sige at systemet ikke tjekker, om den, der forsøger at udføre en handling, faktisk har ret til det. I praksis betyder det, at en funktion til at ændre adgangskoder kan kaldes af hvem som helst, uden at man er logget ind, og uden at systemet bekræfter, at man ejer den konto, man ændrer. Angriberen kan angive et vilkårligt bruger-id, herunder administratorers, og sætte en ny adgangskode. Fejlen findes i alle versioner af pluginet til og med 1.2.3.
Hvem rammer det?
Sårbarheden rammer alle WordPress-installationer, hvor pluginet TrueBooker – Appointment Booking and Scheduler System er installeret i version 1.2.3 eller ældre. Det gælder typisk mindre og mellemstore virksomheder, klinikker, salonger og andre, der bruger pluginet til at lade kunder booke tider online. Det er uden betydning, om selve WordPress-installationen eller andre plugins er opdaterede, fejlen sidder i TrueBooker selv.
Hvad kan ske?
En angriber kan overtage administratorkontoen på hjemmesiden ved blot at ændre adgangskoden, uden at kende den nuværende. Med adminadgang kan angriberen installere skadelig kode, oprette bagdøre, stjæle kundedata fra bookingsystemet eller bruge sitet til at sende spam eller videreformidle angreb mod andre. For en dansk virksomhed betyder det typisk nedetid, mistet tillid hos kunder og et betydeligt oprydningsarbejde, hvis sitet først er kompromitteret.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller nogen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed fuldt ud, fordi en overtaget adminkonto giver fuld kontrol over hjemmesiden. Der er ikke oplysninger om aktiv udnyttelse på offentliggørelsesdatoen, men den lave tekniske barriere gør, at automatiserede angreb typisk følger hurtigt efter offentliggørelse af den type fejl.
Hvad gør jeg nu?
Følgende punkter lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér pluginet TrueBooker – Appointment Booking and Scheduler System til den nyeste version, hvor fejlen er rettet.
- Kan pluginet ikke opdateres med det samme, så deaktivér det, indtil opdateringen kan installeres.
- Gennemgå listen af administratorkonti på jeres WordPress-site for ukendte eller uventede konti.
- Nulstil adgangskoder for alle administratorer og andre privilegerede konti som en sikkerhedsforanstaltning.
- Tjek adgangs- og fejllogs for usædvanlig aktivitet omkring tidspunktet for offentliggørelsen af sårbarheden.
- Er der tegn på, at kontoen allerede er kompromitteret, eller mangler I ressourcer til at gennemgå logs, bør I kontakte en it-sikkerhedsrådgiver.
Opdatér inden for 24 timer
Vi anbefaler, at opdateringen installeres med det samme, da sårbarheden kræver hverken login eller brugerinteraktion og giver fuld administratoradgang. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, når konsekvensen er total overtagelse af sitet. Bruges pluginet ikke aktivt, bør det fjernes helt i stedet for blot at blive deaktiveret.
Tidslinje
Konkrete eksempler
Klinik med online booking rammes
En dansk fysioterapiklinik bruger TrueBooker til at lade patienter booke tider online. En angriber udnytter sårbarheden til at ændre adgangskoden på klinikkens administratorkonto og får dermed fuld adgang til hjemmesiden. Angriberen installerer skadelig kode, der omdirigerer besøgende til falske sider, og klinikken opdager først problemet, når patienter klager over mistænkelige links.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Gå ind i WordPress-administrationen under Plugins, og se om TrueBooker – Appointment Booking and Scheduler System er installeret, og hvilken version der er angivet. Er versionen 1.2.3 eller lavere, er I ramt.
Kan vi vente til weekenden med at opdatere?
Nej. Fejlen kræver ikke login og kan udnyttes automatisk af scanningsværktøjer. Vi anbefaler at opdatere eller deaktivere pluginet samme dag, sårbarheden bliver kendt for jer.
Er vi allerede kompromitteret?
Det kan I ikke se direkte i pluginet, men I bør gennemgå administratorkonti for ukendte tilføjelser og tjekke logs for ændringer af adgangskoder, som I ikke selv har foretaget.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at kontoen er blevet overtaget, og at personoplysninger kan være kompromitteret. I så fald skal I vurdere anmeldepligt efter databeskyttelsesreglerne over for Datatilsynet.
Løser det problemet, hvis vi bare ændrer alle adgangskoder?
Nej, ikke alene. Så længe den sårbare version af pluginet er installeret, kan angriberen sætte en ny adgangskode igen. Opdatering eller deaktivering af pluginet er nødvendig.
Rammer det også vores bookingdata og kundeoplysninger?
Ja, hvis en angriber får adminadgang via sårbarheden, kan denne se og eksportere de bookingdata og kundeoplysninger, som pluginet håndterer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.2.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to change the password of arbitrary user accounts, including administrators, which can be leveraged to gain access to those accounts.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.