CVE-2026-15013: Kritisk fejl i SAML SSO til WordPress

Sårbarheden findes i WordPress-pluginnet SAML Single Sign On – SSO Login, som bruges til at logge brugere ind via en central identitetsudbyder (SAML er en standard til at overføre login-oplysninger mellem systemer). Fejlen sidder i den funktion, der kontrollerer den digitale signatur på et SAML-svar. Pluginnet læser selv, hvilken signaturmetode der skal bruges, fra det svar angriberen sender ind, i stedet for at kræve den metode, der er sat op lokalt. Det gør det muligt at omdanne identitetsudbyderens offentlige nøgle til en delt hemmelighed og skrive en signatur, som pluginnet godkender som gyldig. Resultatet er, at en angriber kan lave et forfalsket login-svar for en hvilken som helst konto, inklusive administrator, uden at kende adgangskoden.

Alle WordPress-installationer, der bruger pluginnet SAML Single Sign On – SSO Login i version 5.4.3 eller ældre. Det gælder virksomheder og kommuner, der har koblet deres hjemmeside eller intranet op på en identitetsudbyder via SAML for at give medarbejdere eller kunder single sign-on. Er pluginnet ikke installeret, er I ikke ramt af denne konkrete sårbarhed.

En angriber uden login kan forfalske et SAML-svar og logge ind som administrator på WordPress-siden. Herfra kan angriberen installere skadelige plugins eller temaer, oprette nye administratorkonti, hente data fra medlemslister og formularer, eller bruge siden som platform til yderligere angreb mod besøgende og kunder. Da angrebet sker uden login og uden brugerhandling, kan det ske uden at nogen medarbejder klikker på noget.

CVSS-score er 9,8 ud af 10, hvilket er den højeste kategori, kritisk. Angrebet kræver ikke login, ingen adgangskoder skal kendes, og der kræves ingen handling fra en bruger eller administrator. Angriberen skal blot kunne sende en forespørgsel til siden over internettet. Fortrolighed, integritet og tilgængelighed vurderes alle som fuldt påvirket, fordi resultatet er fuld administratoradgang. Det er ikke oplyst, om sårbarheden aktivt udnyttes på tidspunktet for offentliggørelsen, men den tekniske beskrivelse er detaljeret nok til, at et fungerende angreb kan bygges hurtigt.

Det vigtigste er at opdatere pluginnet, så den forkerte signaturkontrol lukkes.

1. Opdatér pluginnet SAML Single Sign On – SSO Login til den nyeste version, der er udgivet efter 5.4.3. Kan opdateringen ikke installeres med det samme, deaktivér pluginnet, indtil det er opdateret.
2. Gennemgå listen af administratorkonti på WordPress-siden for konti, I ikke selv har oprettet.
3. Tjek login-loggen hos jeres identitetsudbyder og på WordPress-siden for usædvanlige login-forsøg omkring offentliggørelsesdatoen for sårbarheden.
4. Skift adgangskoder for administratorkonti og gennemgå, om der er installeret plugins eller temaer, I ikke selv har sat op.
5. Sæt en regel op i jeres webapplikationsfirewall, hvis I har en, der begrænser adgang til SAML-login-endepunktet, indtil opdateringen er testet og installeret.
6. Er I i tvivl om, om jeres side allerede er kompromitteret, eller har I ikke ressourcer til at gennemgå logs selv, bør I hente hjælp fra en sikkerhedsrådgiver.