CVE-2026-15303: Kritisk fejl i 6Storage Rentals plugin
Kritisk fejl i WordPress-pluginet 6Storage Rentals (CVE-2026-15303) lader angribere logge ind som administrator uden login. Deaktivér pluginet nu.
Hvad er det?
CVE-2026-15303 er en fejl i autentificering (CWE-287) i WordPress-pluginet 6Storage Rentals, der bruges til at styre udlejning og bookinger på hjemmesider. Fejlen sidder i en AJAX-funktion, altså en serverfunktion, der kan kaldes direkte fra browseren uden om den normale login-side. Funktionen six_storage_create_wp_user() er registreret, så den kan kaldes af helt uidentificerede besøgende, og den logger den besøgende ind som en hvilken som helst eksisterende WordPress-bruger, blot ved at angive brugerens e-mailadresse. Der sker ingen kontrol af adgangskode, sikkerhedstoken eller rettigheder, før login gennemføres.
Hvem rammer det?
Sårbarheden rammer alle danske virksomheder og organisationer, der bruger WordPress-pluginet 6Storage Rentals i version 2.27.0 eller ældre. Det gælder typisk udlejningsvirksomheder, udstyrsudlejere og andre, der bruger pluginet til at administrere bookinger og kunder direkte på deres hjemmeside. Er pluginet aktivt på jeres WordPress-installation, er I sårbare, uanset om selve udlejningsfunktionen bruges aktivt eller ej.
Hvad kan ske?
En angriber, der kender eller gætter e-mailadressen på en administrator, for eksempel fra kontaktsiden eller en tidligere datalæk, kan logge ind som denne administrator uden adgangskode. Herfra kan angriberen installere skadelig kode, oprette nye administratorkonti, ændre indhold, stjæle kundedata eller bruge hjemmesiden som afsæt for yderligere angreb mod jeres netværk eller kunder.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen adgangskode og ingen handling fra offeret, og det kan udføres over internettet af enhver. Det kræver alene, at angriberen kender en gyldig brugers e-mailadresse, hvilket ofte er offentligt tilgængeligt. Der er pr. offentliggørelsesdatoen ikke rapporteret aktiv udnyttelse i praksis, men sårbarhedens lave kompleksitet gør den attraktiv for automatiserede angreb.
Hvad gør jeg nu?
Følgende skridt bør gennemføres i denne rækkefølge:
- Deaktivér pluginet 6Storage Rentals med det samme, indtil en sikker version foreligger. Det lukker hullet, da den sårbare funktion ikke kan tilgås, hvis pluginet er slukket.
- Undersøg, om leverandøren har udgivet en opdateret version efter 2.27.0, og opgradér, hvis det er tilfældet.
- Gennemgå listen af administratorer og brugere for ukendte eller uventede konti, der kan være tegn på tidligere misbrug.
- Skift adgangskoder for alle administratorer, og gennemtving nyt login, da eksisterende sessioner bør nulstilles.
- Gennemgå logfiler for usædvanlig AJAX-trafik mod six_storage_create_wp_user for at afklare, om sårbarheden allerede er udnyttet.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, om pluginet er deaktiveret korrekt, eller hvis I finder tegn på uautoriseret adgang.
Deaktivér pluginet i dag
Vi anbefaler, at pluginet 6Storage Rentals deaktiveres på alle WordPress-installationer i dag, og at det kun genaktiveres, når en sikker version er tilgængelig. Det er ikke forsvarligt at vente til en fast opdateringscyklus, da sårbarheden kan udnyttes af enhver uden login. Er pluginet ikke i aktiv brug, bør det afinstalleres helt.
Tidslinje
Konkrete eksempler
Udlejningsvirksomhed rammes via kontaktside
En dansk udlejningsvirksomhed bruger 6Storage Rentals til at styre bookinger på sin hjemmeside. Administratorens e-mailadresse står offentligt på kontaktsiden. En angriber finder adressen, sender et enkelt AJAX-kald til six_storage_create_wp_user og logger ind som administrator uden adgangskode. Herfra installerer angriberen skadelig kode, der omdirigerer kunder til en falsk betalingsside.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger den sårbare version?
Gå ind i wp-admin under Plugins, og se hvilken version af 6Storage Rentals der er installeret. Er den 2.27.0 eller ældre, er hjemmesiden sårbar.
Kan vi vente til weekenden med at rette det?
Nej. Angrebet kræver ikke login og kan udføres automatisk af enhver på internettet. Deaktivér pluginet i dag, og opgrader eller genaktiver, når en sikker version findes.
Er vi ramt, hvis pluginet er installeret, men ikke aktivt?
Nej. Kun aktive plugins kan udnyttes, fordi den sårbare funktion først registreres, når pluginet er slået til. Vi anbefaler alligevel at afinstallere eller opdatere det, hvis I ikke bruger det.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå listen af administratorer for ukendte konti, og undersøg webserverens logfiler for kald til six_storage_create_wp_user fra ikke-loggede-ind besøgende. Usædvanlig aktivitet omkring dette endepunkt er et advarselstegn.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis der er sket uautoriseret adgang til personoplysninger, skal I vurdere anmeldelse til Datatilsynet inden for 72 timer efter, I bliver bekendt med hændelsen.
Er andre plugins fra samme leverandør også påvirket?
NVD-oplysningerne dækker kun 6Storage Rentals. Der er ikke belæg for at sige noget om andre plugins fra samme leverandør på baggrund af denne sårbarhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The 6Storage Rentals plugin for WordPress is vulnerable to authentication bypass in versions up to, and including, 2.27.0. This is due to the six_storage_create_wp_user() AJAX handler being registered on wp_ajax_nopriv_six_storage_create_wp_user without any nonce, capability, credential, or ownership verification, while calling wp_set_current_user() and wp_set_auth_cookie() for any WordPress user resolved by the attacker-supplied email address. This makes it possible for unauthenticated attackers to log in as any existing WordPress user, including administrators, by submitting that user’s email address.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.