CVE-2026-15341: Kritisk fejl i WordPress-plugin
Kritisk fejl i WordPress-plugin’et User Session Synchronizer giver angribere adgang som administrator uden login. Deaktivér plugin’et i dag.
Hvad er det?
CVE-2026-15341 er en fejl i WordPress-plugin’et User Session Synchronizer, der gør det muligt at omgå login helt. Fejlen kaldes en autentificeringsbrist, det betyder, at systemet giver adgang uden at bekræfte, hvem der spørger. Plugin’ets funktion til at synkronisere brugersessioner tjekker ikke, om en forespørgsel er ægte. Når en angriber sender et bestemt parametersæt, som mangler i pluginets database, falder krypteringsnøglen tilbage til en fast, gættelig værdi. Angriberen kan derefter kryptere en hvilken som helst kendt e-mailadresse og få WordPress til at logge personen ind som den bruger, uden at kende adgangskode eller andre hemmeligheder på sitet.
Hvem rammer det?
Sårbarheden rammer alle WordPress-installationer, der har plugin’et User Session Synchronizer installeret og aktiveret, i alle versioner til og med 1.4.0. Det gælder virksomheder og kommuner, der bruger WordPress som hjemmeside eller intranet, og som har tilføjet dette plugin for at synkronisere login mellem flere sites eller domæner.
Hvad kan ske?
En angriber, der kender eller gætter en administrators e-mailadresse, kan logge sig ind som denne bruger uden adgangskode. Herfra kan angriberen ændre indhold, installere skadelig kode, oprette nye administratorkonti, stjæle kundedata eller bruge sitet som platform for videre angreb mod andre. For en dansk virksomhed betyder det typisk tab af kontrol over hjemmesiden, risiko for datalækage og et betydeligt oprydningsarbejde.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ikke login, ingen adgangskoder og ingen handling fra en bruger. Det kan udføres over internettet af enhver, der kan sende en webforespørgsel til sitet. Der er ingen kendte tegn på, at sårbarheden aktivt udnyttes i angreb, men det tekniske indblik i fejlen er offentligt og relativt enkelt at omsætte til et angreb.
Hvad gør jeg nu?
Vurdér, om jeres WordPress-site bruger dette plugin, og handl derefter.
- Deaktivér plugin’et User Session Synchronizer med det samme, indtil en sikker version findes. Det lukker hullet fuldstændigt, da fejlen ligger i selve plugin-koden.
- Tjek jeres WordPress-administratorer for ukendte konti eller uventede loginforsøg i loggen.
- Skift adgangskoder på alle administratorkonti som en ekstra sikkerhed, hvis I finder tegn på misbrug.
- Følg med i plugin-udviklerens meddelelser om en opdateret version, og genaktivér først plugin’et, når en rettet version er installeret.
- Gennemgå jævnligt jeres site for andre plugins med samme mønster, hvor login sker uden ordentlig verifikation.
- Kontakt os eller en anden sikkerhedsrådgiver, hvis I finder tegn på, at kontoen allerede er overtaget, eller hvis I er i tvivl om, hvordan I sikrer sitet korrekt.
Deaktivér plugin’et i dag
Vi anbefaler, at I deaktiverer plugin’et User Session Synchronizer i dag, uanset hvor mange administratorer sitet har. Da der endnu ikke findes en rettet version, er deaktivering den eneste sikre løsning lige nu. Det er ikke forsvarligt at vente til en planlagt opdateringsrunde, da angrebet kan udføres af enhver uden login. Når en opdateret version udgives, bør den installeres og testes, før plugin’et genaktiveres.
Tidslinje
Konkrete eksempler
Overtagelse af administratorkonto på en dansk virksomheds hjemmeside
En mindre dansk handelsvirksomhed bruger WordPress med plugin’et User Session Synchronizer til at dele login mellem to domæner. En angriber sender en forespørgsel med en gættet administratormail og logger sig ind som administrator uden adgangskode. Angriberen ændrer betalingsoplysninger på sitet og indsætter skadelig kode, der stjæler kundedata ved næste besøg.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger dette plugin?
Gå ind i jeres WordPress-administration under Plugins, og kig efter User Session Synchronizer i listen. Er det installeret og aktiveret, er I berørt, uanset hvilken version I kører op til og med 1.4.0.
Kan vi vente med at reagere til efter weekenden?
Nej. Angrebet kræver ikke login eller brugerhandling og kan udføres automatisk af scripts, der scanner efter sårbare sites. Deaktivér plugin’et, så snart I har mulighed for det.
Er vores site allerede angrebet?
Tjek logfiler for uventede loginhændelser eller nye administratorkonti, I ikke selv har oprettet. Er der tegn på det, bør I skifte alle administratoradgangskoder og undersøge sitet nærmere.
Er vi ramt, hvis plugin'et er installeret men deaktiveret?
Nej. Fejlen ligger i en funktion, der kun kører, når plugin’et er aktivt. Er plugin’et deaktiveret, er sårbarheden ikke tilgængelig for angribere.
Skal vi anmelde dette til myndighederne?
Hvis I opdager, at kundedata eller persondata er blevet tilgået uretmæssigt, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne. Vi anbefaler, at I vurderer dette konkret sammen med jeres databeskyttelsesrådgiver, hvis I finder tegn på misbrug.
Findes der en opdateret version, vi kan installere?
Der er ikke oplysning om en rettet version på offentliggørelsesdatoen. Følg plugin’ets side i WordPress-plugin-arkivet for opdateringer, og installer den rettede version, så snart den udgives.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The User Session Synchronizer plugin for WordPress is vulnerable to Authentication Bypass leading to Account Takeover in all versions up to, and including, 1.4.0. The `synchronize_session()` function, hooked on `init` and therefore executed on every request, performs no nonce, capability, or shared-secret validation against the attacker-supplied `ussync-key`, `ussync-token`, and `ussync-ref` parameters; when `ussync-key` references an unregistered slot, `get_option()` returns `false` for both the secret key and the domain list, causing the AES-256-CBC encryption key to degrade to the fully predictable `md5(”)` and the referer allowlist to collapse to an empty-string match, while the AES IV is unconditionally hard-coded as `md5(‘another-secret’)`. This makes it possible for unauthenticated attackers to supply a crafted request encrypting any known or guessable user email address in the `ussync-ref` parameter, causing the handler to call `wp_set_auth_cookie()` for the matched user and granting full authentication as that user — including administrators — with no prior knowledge of site secrets.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.