CVE-2026-14378: Kritisk fejl i WordPress-plugin DevKit Pro
Kritisk fejl i WordPress-pluginet DevKit Pro giver uautoriserede angribere fuld administratoradgang. Afinstallér eller spær adgangen nu.
Hvad er det?
CVE-2026-14378 er en kritisk sårbarhed i WordPress-pluginet DevKit Pro, i alle versioner til og med 2.3.0. Fejlen gør det muligt for en angriber uden login at udgive sig for en administrator. Pluginets funktion til at skifte tilbage fra en administrator til den oprindelige bruger stoler på en cookie, som brugeren selv kan sætte. Et sted i koden tjekker systemet rettighederne på den bruger, cookien peger på, i stedet for at tjekke rettighederne for den, der faktisk sender forespørgslen. Samtidig vises en formular med en gyldig sikkerhedskode, et såkaldt nonce, til alle besøgende, også uden login, når cookien er sat. En angriber kan derfor sætte cookien til et administrator-id, hente nonce’en og sende den tilbage til systemet, som så logger angriberen ind som administrator.
Hvem rammer det?
Sårbarheden rammer alle WordPress-websites, der bruger pluginet DevKit Pro i version 2.3.0 eller tidligere. Det gælder særligt danske virksomheder og kommuner, der bruger pluginet til at lade support eller administratorer midlertidigt logge ind som andre brugere, for eksempel ved fejlsøgning for kunder. Alle sites med pluginet aktivt er sårbare, uanset om funktionen til brugerskift bruges ofte.
Hvad kan ske?
En angriber kan opnå fuld administratoradgang til hjemmesiden uden at kende et eneste kodeord. Herfra kan angriberen installere skadelig kode, oprette nye administratorbrugere, ændre indhold, stjæle kundedata fra formularer og databaser, eller bruge sitet til at sprede malware til besøgende. For en dansk virksomhed kan det betyde tab af kundedata, nedetid på webshop eller hjemmeside, og i værste fald en anmeldelsespligtig persondatahændelse efter databeskyttelsesforordningen.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger på sitet. Det kan udføres over internettet med lav kompleksitet, det vil sige uden særlige forudsætninger eller held. Der er ikke krav om rettigheder i forvejen, en helt udefrakommende kan udføre angrebet. Der er ikke rapporteret bekræftet aktiv udnyttelse, men sårbarhedens lave kompleksitet gør den attraktiv for automatiserede angreb mod WordPress-sites.
Hvad gør jeg nu?
Følgende skridt bør gennemføres i denne rækkefølge.
- Opdatér DevKit Pro til en version nyere end 2.3.0, hvis en rettet version er udgivet. Tjek plugin-siden i WordPress-administrationen eller leverandørens hjemmeside.
- Er der ikke udgivet en rettelse, deaktivér og afinstallér pluginet, indtil en sikker version findes.
- Gennemgå listen over administratorbrugere på sitet for ukendte eller nyoprettede konti.
- Skift adgangskoder for alle administratorer og gennemtving ny login for alle brugere.
- Gennemgå logfiler for usædvanlig aktivitet, især POST-forespørgsler til revert_switch-funktionen.
- Kontakt en it-sikkerhedsleverandør, hvis I ikke selv kan vurdere, om sitet er kompromitteret, eller hvis I finder tegn på uautoriseret adgang.
Luk hullet inden for 24 timer
Vi anbefaler at afinstallere DevKit Pro fra alle WordPress-sites, indtil leverandøren har udgivet en rettet version, da sårbarheden kan udnyttes uden login og giver fuld administratoradgang. Er pluginet kritisk for driften, bør adgangen til revert_switch-funktionen spærres via en webapplikationsfirewall, mens I afventer en opdatering. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da konsekvensen ved udnyttelse er fuld overtagelse af sitet.
Tidslinje
Konkrete eksempler
Webshop mister kundedata via administratorkonto
En dansk webshop bruger DevKit Pro til at lade supportmedarbejdere midlertidigt logge ind som kunder ved fejlsøgning. En angriber finder sitet via automatisk scanning, sætter cookien til administratorens id og opnår fuld adgang uden login. Angriberen opretter en skjult administratorkonto, installerer skadelig kode på betalingssiden og stjæler kortoplysninger fra kunder over flere uger, før det opdages.
Ofte stillede spørgsmål
Hvordan ved vi, om vores WordPress-site bruger DevKit Pro?
Gå til Plugins i WordPress-administrationen og se, om DevKit Pro er installeret og aktivt. Spørg jeres webbureau eller hostingleverandør, hvis I ikke selv administrerer sitet.
Kan vi vente med at opdatere til i næste uge?
Nej. Sårbarheden kræver hverken login eller brugerhandling og kan udnyttes automatisk af botnet, der scanner internettet for sårbare WordPress-sites. Luk hullet samme dag, I opdager det.
Hvordan opdager vi, om vi allerede er blevet ramt?
Tjek listen over administratorbrugere for konti, I ikke selv har oprettet, og gennemgå serverlogs for POST-kald til revert_switch. Uventede nye administratorer er et klart tegn på kompromittering.
Skal vi anmelde hændelsen til Datatilsynet?
Hvis angriberen har fået adgang til personoplysninger, for eksempel kundedata i en database, kan det udløse anmeldelsespligt efter databeskyttelsesforordningen. Vurdér konkret omfang sammen med jeres databeskyttelsesrådgiver eller it-sikkerhedspartner.
Er alle WordPress-sites ramt, eller kun dem med DevKit Pro?
Kun sites, der har pluginet DevKit Pro installeret i version 2.3.0 eller tidligere, er ramt. Andre WordPress-sites er ikke berørt af denne konkrete sårbarhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The DevKit Pro plugin for WordPress is vulnerable to Authentication Bypass Leading to Administrator Account Takeover in all versions up to, and including, 2.3.0 This is due to the `revert_switch` handler trusting the attacker-controlled `original_user_id` cookie as the privileged identity: `verify_nonce_and_capability()` incorrectly checks the `manage_options` capability on the user identified by the cookie rather than on the actual requester via `current_user_can()`, while the switch-back form and a valid session-bound nonce are emitted publicly via `wp_footer` to any visitor — including unauthenticated users — whenever that cookie is present. This makes it possible for unauthenticated attackers to set the `original_user_id` cookie to any administrator’s user ID, collect the rendered nonce, and POST it back to the `revert_switch` handler, causing `wp_set_auth_cookie()` to be called with the administrator’s ID and granting the attacker a full administrator-level authenticated session and complete site takeover.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.