CVE-2026-14956: Kritisk fejl i Bricksforge til WordPress
Bricksforge-plugin til WordPress (CVE-2026-14956) lader angribere uden login skabe en administratorkonto. Deaktivér Pro Forms-registrering nu.
Hvad er det?
CVE-2026-14956 er en sårbarhed i WordPress-pluginet Bricksforge, der rammer alle versioner til og med 3.1.8.6. Fejlen ligger i CWE-269, forkert håndtering af rettigheder, og opstår fordi plugins Pro Forms-funktion ikke validerer parameteren fieldIds korrekt, når en formular bruges til brugerregistrering. En angriber kan sende et manipuleret felt-id med i registreringen og dermed sætte sig selv op som administrator, uden at være logget ind fra start.
Hvem rammer det?
Det rammer WordPress-sider, der bruger Bricksforge til og med version 3.1.8.6, og hvor plugins Pro Forms-element er sat op med en offentligt tilgængelig registreringsformular, som bruger handlingen ‘User Registration’. Har jeres site ikke en sådan formular offentligt tilgængelig, er I ikke sårbare via denne vej, men bør stadig opdatere pluginet.
Hvad kan ske?
En angriber kan udfylde den offentlige registreringsformular med et manipuleret felt-id og derved oprette en ny administratorkonto på jeres WordPress-side, uden at kende et eksisterende brugernavn eller kodeord. Med administratorrettigheder kan angriberen installere skadelig kode, ændre indhold, oprette flere skjulte adgange eller stjæle data fra kunder og medlemmer, der er registreret på siden.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksity. Konsekvensen er fuld kontrol over fortrolighed, integritet og tilgængelighed af sitet. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i skarpe angreb på offentliggørelsestidspunktet, men den lave adgangsbarriere gør den attraktiv for automatiserede angreb.
Hvad gør jeg nu?
Følgende trin lukker eller begrænser hullet, indtil en rettet version af pluginet er tilgængelig.
- Deaktivér den offentlige Pro Forms-registreringsformular med handlingen ‘User Registration’, eller tag den helt af sitet, indtil pluginet er opdateret.
- Kontrollér jeres WordPress-brugerliste for ukendte administratorkonti, oprettet uden jeres viden.
- Opdatér Bricksforge til den nyeste version, så snart udbyderen frigiver en rettet version efter version 3.1.8.6.
- Gennemgå adgangslogfiler for uventede POST-forespørgsler mod registreringsformularen.
- Skift adgangskoder for alle eksisterende administratorer som forholdsregel, hvis I finder tegn på uautoriseret adgang.
- Kontakt jeres it-leverandør eller Auroa, hvis I finder en ukendt administratorkonto, eller hvis I ikke selv kan verificere, om formularen er offentligt tilgængelig.
Deaktivér formular og opdatér straks
Vi anbefaler, at I straks deaktiverer den offentlige Bricksforge Pro Forms-registreringsformular og tjekker jeres administratorliste for ukendte konti. Det er ikke forsvarligt at vente til en almindelig opdateringsrunde, fordi angrebet ikke kræver login og kan automatiseres. I kan vente med at opdatere selve pluginet, hvis I i mellemtiden helt har fjernet eller skjult den offentlige registreringsformular.
Tidslinje
Konkrete eksempler
Medlemsportal hos dansk forening
En dansk forening bruger Bricksforge til at bygge en medlemsportal med selvbetjent registrering via Pro Forms. En angriber sender en manipuleret registreringsanmodning og opretter sig selv som administrator uden at kende et eksisterende login. Med adgangen ændrer angriberen sitets indhold og får adgang til foreningens medlemsdata.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-14956?
I er kun sårbare, hvis I bruger Bricksforge til og med version 3.1.8.6, og har en Pro Forms-formular med handlingen ‘User Registration’ sat op og tilgængelig for offentligheden. Tjek jeres pluginversion under WordPress-admin og gennemgå jeres formularer.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gå ind under Brugere i WordPress-admin og se efter administratorkonti, I ikke selv har oprettet. Kig også i serverloggen efter mange POST-forespørgsler mod registreringssiden på uventede tidspunkter.
Kan vi vente med at rette det til weekenden?
Nej. Angrebet kræver ikke login og kan udføres automatisk af scripts, der scanner internettet for sårbare sider. Deaktivér formularen nu, og lav den fulde opdatering, når I har tid.
Er der en rettet version af Bricksforge?
Der er ikke oplyst en konkret rettet version i den tilgængelige information på offentliggørelsestidspunktet. Følg pluginets changelog, og opdatér, så snart en ny version frigives.
Skal vi anmelde dette som et sikkerhedsbrud?
Har I fundet tegn på, at en ukendt administratorkonto er oprettet, og at persondata er tilgået eller ændret, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver eller Auroa for en konkret vurdering.
Påvirker det andre plugins eller kun Bricksforge?
Sårbarheden er specifik for Bricksforge-pluginets Pro Forms-funktion og påvirker ikke andre plugins direkte, men en administratorkonto skabt via denne fejl giver angriberen samme rettigheder som på resten af sitet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Bricksforge plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.1.8.6. This is due to improper validation of the fieldIds parameter in the Pro Forms registration action, which allows attacker-supplied field IDs to be added to the trusted form-field whitelist. This makes it possible for unauthenticated attackers to register a new administrator account by submitting a crafted request to a publicly accessible Bricksforge Pro Forms registration form. Successful exploitation requires that the site has a public Bricksforge Pro Forms element configured with the User Registration action.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.