CVE-2026-15282: Kritisk filupload-fejl i Instant Appointment
Plugin’et Instant Appointment til WordPress tillader filupload uden godkendelse. Deaktiver eller fjern pluginet nu.
Hvad er det?
CVE-2026-15282 er en sårbarhed i WordPress-pluginet Instant Appointment, som bruges til at lade kunder booke tider på en hjemmeside. Fejlen ligger i funktionen ‘insapp_upload_image_as_attachment’, der modtager filer uden at kontrollere filtypen. En fil-upload-funktion er en del af koden, der tager imod og gemmer filer, brugere sender ind, for eksempel billeder til en profil. Fordi kontrollen mangler, kan en angriber i stedet sende en programfil forklædt som et billede og få serveren til at gemme og senere afvikle den.
Hvem rammer det?
Sårbarheden findes i alle versioner af Instant Appointment op til og med 1.2. Det rammer danske virksomheder og kommuner, der bruger WordPress med dette specifikke booking-plugin til at tage imod tidsbestillinger fra kunder eller borgere, for eksempel klinikker, salonger, værksteder og servicevirksomheder.
Hvad kan ske?
En angriber kan uploade en skadelig fil til hjemmesiden uden at være logget ind og uden at have brug for adgangskoder. Filen kan give fuld fjernstyring af webserveren, hvilket betyder, at angriberen kan læse og ændre kundedata, indsætte skadelig kode på siden, eller bruge serveren som springbræt til andre systemer i virksomhedens netværk.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kræver ikke login, kræver ikke at en bruger klikker på noget, og kan udnyttes over internettet med lav teknisk kompleksitet. Der er ikke rapporteret om aktiv udnyttelse på offentliggørelsesdatoen, men fordi angrebet er så simpelt at udføre, må man forvente, at automatiserede scanninger finder sårbare sider hurtigt.
Hvad gør jeg nu?
Følg punkterne i den viste rækkefølge for at lukke hullet og begrænse skaden.
- Deaktiver pluginet Instant Appointment på alle WordPress-sider, indtil en opdateret version er tilgængelig fra udvikleren.
- Tjek serverens filsystem for uventede filer i upload-mapper, især filer med programendelser som .php gemt i billedmapper.
- Gennemgå webserverens logfiler for kald til ‘insapp_upload_image_as_attachment’ eller uventede POST-forespørgsler i den periode, pluginet har været installeret.
- Skift adgangskoder til WordPress-administrator og databasebruger, hvis I finder tegn på uautoriseret adgang.
- Gendan siden fra en kendt sikker sikkerhedskopi, hvis I finder skadelige filer eller ændringer, I ikke selv har lavet.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om serveren er blevet kompromitteret, eller hvis I finder tegn på indbrud.
Deaktiver pluginet i dag
Vi anbefaler, at I deaktiverer Instant Appointment-pluginet med det samme, da der ikke findes en rettet version at opgradere til på offentliggørelsestidspunktet. Det er ikke forsvarligt at vente til weekenden eller næste opdateringsvindue, fordi sårbarheden kan udnyttes uden login og uden brugerinteraktion. Hold øje med udviklerens plugin-side for en opdateret version, og geninstaller først pluginet, når fejlen er rettet.
Tidslinje
Konkrete eksempler
Booking-siden hos en lokal klinik
En dansk fysioterapiklinik bruger Instant Appointment til at lade patienter booke tider online. En angriber udnytter upload-funktionen til at lægge en skadelig fil på serveren og får dermed fuld adgang til hjemmesidens server, herunder patientlisten og kontaktoplysninger, uden at klinikken bemærker det, før hjemmesiden pludselig viser fremmed indhold.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger dette plugin?
Log ind i WordPress-administrationen, gå til Plugins, og søg efter ‘Instant Appointment’. Er pluginet installeret og aktivt, er I potentielt sårbare, hvis versionen er 1.2 eller ældre.
Kan vi vente til den næste planlagte opdatering?
Nej. Sårbarheden kan udnyttes af enhver på internettet uden login, så vi anbefaler at deaktivere pluginet nu og ikke vente på et fast opdateringsvindue.
Er vi allerede ramt?
Det kan I ikke vide med sikkerhed uden at undersøge serveren. Tjek upload-mapper for uventede filer og gennemgå logfiler for uventede POST-forespørgsler mod pluginets upload-funktion.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at persondata er blevet tilgået eller ændret uautoriseret. Find I skadelige filer eller uautoriseret adgang, bør I vurdere anmeldelsespligt efter databeskyttelsesreglerne.
Findes der en midlertidig løsning, hvis vi ikke kan deaktivere pluginet?
Den sikreste midlertidige løsning er at deaktivere pluginet helt. Kan det ikke undgås, bør I som minimum blokere adgang til upload-funktionen via serverens konfiguration eller en webapplikationsfirewall.
Hvornår kommer der en rettet version?
Det fremgår ikke af offentliggørelsen. Følg pluginets side på WordPress.org for opdateringer, og geninstaller kun, når en rettet version er udgivet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Instant Appointment plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the ‘insapp_upload_image_as_attachment’ function in all versions up to, and including, 1.2. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site’s server which may make remote code execution possible.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.