CVE-2026-15826: Kritisk fejl i WP-plugin User Profile Builder
Fejl i WordPress-pluginet User Profile Builder giver uautoriseret adgang som administrator. Opdatér pluginet nu.
Hvad er det?
En sårbarhed i WordPress-pluginet User Profile Builder (CVE-2026-15826) gør det muligt for uautoriserede besøgende at logge ind som webstedets administrator. Fejlen er en typeforveksling: koden behandler et fejlsvar, som var det et gyldigt tal. Når en bruger registrerer sig med et brugernavn på mellem 61 og 70 tegn, afviser WordPress registreringen med et fejlobjekt. Pluginets funktion omdanner dette fejlobjekt til tallet 1, før den når at opdage, at der var tale om en fejl. Tallet 1 er systemets standard-id for den første administratorkonto, og pluginet udsteder derfor automatisk et login-bevis knyttet til den konto.
Hvem rammer det?
Alle danske virksomheder og organisationer, der driver en WordPress-hjemmeside med pluginet User Profile Builder i version 3.16.4 eller ældre. Det gælder især websteder, hvor brugerregistrering er åben for besøgende, for eksempel medlemssider, kundeportaler, foreningshjemmesider og intranet med selvbetjent oprettelse af brugere.
Hvad kan ske?
En angriber kan uden login eller nogen handling fra en bruger opnå fuld administratoradgang til hjemmesiden. Det giver mulighed for at installere skadelig kode, oprette nye administratorkonti, stjæle kunde- og medlemsdata eller ændre webstedets indhold, så det bruges til phishing eller spredning af malware. For en dansk virksomhed kan konsekvensen være nedetid, tab af kundedata og skade på virksomhedens omdømme.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen brugerhandling og kan udføres over internettet med lav teknisk kompleksitet: det er nok at indsende en almindelig registreringsformular med et brugernavn af en bestemt længde. Der er ikke oplyst om udnyttelse i praksis på offentliggørelsesdatoen, men fejlen er så simpel at udnytte, at teknisk viden om den i sig selv gør angreb sandsynlige.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér pluginet User Profile Builder til en version, hvor fejlen er rettet. Tjek pluginets side i WordPress-administrationen for den nyeste tilgængelige version.
- Kan I ikke opdatere med det samme, så deaktivér pluginets brugerregistrering eller hele pluginet, til opdateringen er gennemført.
- Gennemgå listen af administratorbrugere på webstedet for konti, I ikke selv har oprettet.
- Skift adgangskoder for alle administratorer, og roter eventuelle API-nøgler eller hemmeligheder, hvis I finder tegn på uautoriseret adgang.
- Tjek jeres registreringslog eller webserverlog for registreringsforsøg med brugernavne på 61 til 70 tegn.
- Få hjælp udefra, hvis I finder tegn på kompromittering, eller hvis I ikke selv kan afgøre, om jeres websted er ramt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer pluginet User Profile Builder med det samme, da sårbarheden kan udnyttes uden login og giver fuld administratoradgang til hjemmesiden. Det er kun forsvarligt at vente, hvis brugerregistrering allerede er helt deaktiveret på webstedet, og selv da bør opdateringen prioriteres inden for kort tid. Er I i tvivl om, om jeres websted er ramt, eller om det allerede er misbrugt, hjælper vi gerne med en gennemgang.
Tidslinje
Konkrete eksempler
Foreningshjemmeside med åben medlemsregistrering
En dansk forening bruger User Profile Builder til at lade nye medlemmer oprette sig selv på hjemmesiden. En udenforstående opretter en registrering med et brugernavn på 65 tegn og modtager derved et login-bevis, der giver adgang som administrator. Personen kan nu ændre foreningens hjemmeside, se medlemslister og eventuelt installere skadelig kode, uden at nogen bemærker det, før webstedet begynder at sende phishingmails eller vises som kompromitteret i browseren.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger dette plugin?
Gå ind i WordPress-administrationen under Plugins, og se om User Profile Builder står på listen, samt hvilken version der er installeret. Er versionen 3.16.4 eller ældre, er webstedet sårbart.
Er vi ramt, hvis brugerregistrering er slået fra på vores hjemmeside?
Risikoen er markant lavere, hvis ingen kan registrere sig selv på webstedet, da angrebet kræver, at man kan indsende en registrering. Vi anbefaler alligevel at opdatere pluginet, da indstillinger kan blive ændret eller allerede være åbne, uden at det er dokumenteret.
Kan vi vente til den planlagte weekendopdatering af vores hjemmeside?
Nej. Fejlen kræver ingen login og kan udnyttes af enhver på internettet, så vi anbefaler at opdatere pluginet inden for det næste døgn og ikke afvente en fast opdateringsplan.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå listen af administratorbrugere for konti, I ikke kan genkende, og tjek registrerings- og loginlog for aktivitet med usædvanligt lange brugernavne. Se også efter uventede ændringer i webstedets filer eller indhold.
Skal vi anmelde det til myndighederne, hvis vi bliver ramt?
Hvis kompromitteringen har givet en angriber adgang til personoplysninger, for eksempel kunde- eller medlemsdata, skal I vurdere anmeldelsespligt til Datatilsynet efter databeskyttelsesreglerne. Vi anbefaler at dokumentere forløbet og søge juridisk rådgivning, hvis der er tvivl.
Hvad gør vi, hvis pluginet ikke opdaterer automatisk?
Opdatér pluginet manuelt via WordPress-administrationen, eller kontakt jeres webbureau eller it-leverandør, hvis I ikke selv har adgang til at gøre det.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The User Profile Builder plugin for WordPress is vulnerable to Authentication Bypass via Type Confusion in versions up to, and including, 3.16.4. This is due to the wppb_log_in_user() function calling absint() on the return value of wp_insert_user() before performing an is_wp_error() check — when a registration is submitted with a 61–70 character username, WordPress core rejects it with a WP_Error object, but absint() coerces that object to the integer 1 before the error check can short-circuit execution, causing the plugin to bind and return a transient-backed autologin nonce tied to user ID 1. This makes it possible for unauthenticated attackers to log in as the site’s Administrator account (user ID 1), resulting in full administrative takeover of the site.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.