CVE-2026-15369: Kritisk fejl i WooCommerce-plugin

CVE-2026-15369 er en sårbarhed i WordPress-pluginet Custom User Registration Fields for WooCommerce, i alle versioner til og med 2.2.3. Fejlen ligger i, hvordan plugin’et håndterer den rolle, en ny kunde vælger, når man opretter en konto under kassen (checkout) i en webshop. Plugin’et modtager rollevalget direkte fra kundens browser via WooCommerce Store API, som er den grænseflade, webshoppen bruger til at behandle bestillinger. Værdien gemmes og sendes derefter uden kontrol videre til den funktion i WordPress, der tildeler brugerroller. En angriber kan derfor sende en ændret bestilling, hvor rollen sættes til administrator, i stedet for den tilsigtede kunderolle. Fejlen kræver, at butikkens indstilling ‘User Role Selection’ er aktiveret.

Alle danske webshops, der kører WordPress med WooCommerce og har installeret pluginet Custom User Registration Fields for WooCommerce i version 2.2.3 eller ældre, og som har aktiveret indstillingen ‘User Role Selection’. Det gælder typisk mindre og mellemstore webshops, der har tilpasset registreringsformularen, så kunder selv kan vælge en rolle, for eksempel forhandler eller grossist, ved oprettelse af konto.

En besøgende, der ikke behøver at være logget ind, kan under en almindelig bestilling ændre den tekniske forespørgsel og få tildelt administratorrettigheder til hele WordPress-installationen. Med administratorrettigheder kan angriberen installere skadelig kode, oprette nye administratorer, læse og ændre alle ordrer og kundedata, eller lukke webshoppen helt. Fordi angrebet sker gennem en helt normal handling, oprettelse af konto ved kassen, kan det ske uden at nogen i virksomheden bemærker noget unormalt før skaden er sket.

CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login og ingen handling fra en almindelig bruger, kun at pluginets rollevalg-funktion er aktiveret. Angriberen sender blot en tilpasset bestilling gennem webshoppens egen API. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men den tekniske beskrivelse fra NVD er detaljeret nok til, at et angreb kan bygges hurtigt.

Sårbarheden lukkes ved at fjerne muligheden for, at kunder selv kan vælge rolle ved oprettelse af konto.

1. Gå ind i pluginets indstillinger og deaktivér ‘User Role Selection’ med det samme. Det fjerner angrebsvejen helt, uanset pluginversion.
2. Undersøg jeres WordPress-brugerliste for uventede administratorkonti oprettet via webshoppens kassefunktion.
3. Kontrollér ordrelog og metadata for ordrer med usædvanlige eller manipulerede felter i forbindelse med kontooprettelse.
4. Opdatér pluginet til en version, der retter fejlen, så snart udvikleren udgiver en, og hold øje med pluginets changelog.
5. Skift adgangskoder for alle administratorer og gennemgå øvrige brugerroller, hvis I finder tegn på misbrug.
6. Kontakt en sikkerhedsrådgiver, hvis I finder ukendte administratorkonti, eller hvis I ikke selv kan afgøre, om jeres shop har været udsat for angrebet.