CVE-2026-15980: Kritisk fejl i MyHome Core (WordPress)
Alvorlig autentificeringsfejl i WordPress-pluginet MyHome Core kan give angribere adgang til administratorkonti uden login. Opdatér pluginet.
Hvad er det?
MyHome Core er et WordPress-plugin, der bruges sammen med MyHome-temaet til ejendomsmæglersider. Sårbarheden CVE-2026-15980 skyldes manglende adgangskontrol i funktionen send_link() og ukorrekt validering af aktiveringstokens i funktionen activate(). En token er en midlertidig kode, der normalt bekræfter, at en bruger ejer den mailadresse, kontoen er oprettet med. Fejlen gør det muligt at generere en gyldig aktiveringskode til en ubekræftet brugerkonto og derefter få en gyldig loginkage (cookie), uden at kende adgangskoden.
Hvem rammer det?
Alle websteder, der bruger MyHome Core i version 4.4.5 eller tidligere. Det kræver desuden, at MyHome-temaet er sat op i legacy- eller WPBakery-tilstand, at frontend-registrering og bekræftelsesmail er aktiveret, og at der findes en brugerkonto, som endnu ikke har bekræftet sin registrering. Rammer typisk mindre og mellemstore ejendomsmæglervirksomheder, der bruger dette tema til deres WordPress-side.
Hvad kan ske?
En angriber uden brugernavn eller adgangskode kan skaffe sig en gyldig loginsession til en eksisterende, ubekræftet konto, herunder en administratorkonto, hvis en sådan opfylder betingelserne. Dermed kan angriberen få fuld kontrol over WordPress-sitet: oprette nye administratorer, installere skadelig kode, ændre indhold eller stjæle kundedata fra kontaktformularer og boligannoncer.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, ingen handling fra brugeren og kan udføres over internettet med lav teknisk kompleksitet. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsestidspunktet, men fordi angrebet er simpelt at automatisere, kan det ændre sig hurtigt. Sårbarheden gælder kun sites med den beskrevne temaopsætning, men den er ikke synlig for de fleste it-ansvarlige uden at tjekke konfigurationen.
Hvad gør jeg nu?
Følg punkterne i rækkefølge for at lukke hullet og begrænse skaden.
- Opdatér MyHome Core-pluginet til den nyeste version, hvor fejlen i send_link() og activate() er rettet.
- Tjek om MyHome-temaet kører i legacy- eller WPBakery-tilstand med frontend-registrering aktiveret. Er det ikke nødvendigt, så slå frontend-registrering og bekræftelsesmail fra.
- Gennemgå listen over brugerkonti for ubekræftede konti, især konti med administratorrettigheder, og slet eller nulstil dem, hvis de er mistænkelige.
- Tving alle administratorer til at logge ud og skifte adgangskode som ekstra sikkerhed.
- Gennemgå sitets logfiler for usædvanlig aktivitet omkring send_link eller activate-kald i perioden op til opdateringen.
- Kan I ikke selv vurdere, om sitet er sårbart eller allerede kompromitteret, så få en sikkerhedsgennemgang udefra.
Opdatér pluginet inden for 24 timer
Vi anbefaler, at MyHome Core opdateres hurtigst muligt, og at temaopsætningen tjekkes samme dag, da angrebet ikke kræver login og kan automatiseres. Det er kun forsvarligt at vente, hvis sitet ikke bruger MyHome-temaet i legacy- eller WPBakery-tilstand, eller hvis frontend-registrering er slået fra. Er I i tvivl om konfigurationen, bør I behandle det som kritisk og handle nu.
Tidslinje
Konkrete eksempler
Ejendomsmæglerside mister kontrollen over sit WordPress-site
En dansk ejendomsmæglervirksomhed bruger MyHome-temaet med frontend-registrering til boligsøgende. En angriber finder en ubekræftet testkonto oprettet af en medarbejder og bruger fejlen til at få en gyldig administratorsession. Herfra installerer angriberen skadelig kode, der stjæler kundedata fra kontaktformularer og omdirigerer besøgende til svindelsider.
Ofte stillede spørgsmål
Er vores WordPress-site ramt?
I er potentielt ramt, hvis I bruger MyHome Core i version 4.4.5 eller tidligere, og MyHome-temaet er sat op i legacy- eller WPBakery-tilstand med frontend-registrering og bekræftelsesmail aktiveret.
Hvordan tjekker vi, om vi er sårbare?
Se pluginversionen under Plugins i WordPress-administrationen, og tjek temaets indstillinger for registreringstilstand. Kig desuden efter ubekræftede brugerkonti i brugerlisten.
Kan vi vente til weekenden med at opdatere?
Det frarådes. Angrebet kræver ikke login og kan udføres automatiseret, så jo længere pluginet ikke opdateres, desto større er risikoen.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt kendte tilfælde af udnyttelse på offentliggørelsestidspunktet, men det kan ændre sig, da fejlen er simpel at udnytte.
Skal vi anmelde en eventuel hændelse?
Hvis I finder tegn på, at en administratorkonto er blevet oprettet eller overtaget uden jeres viden, og persondata kan være kompromitteret, skal hændelsen vurderes efter databeskyttelsesreglerne og eventuelt anmeldes til Datatilsynet inden for 72 timer.
Hvad hvis vi ikke bruger frontend-registrering?
Så er risikoen betydeligt lavere, fordi en af forudsætningerne for angrebet mangler. Det er dog stadig en god idé at opdatere pluginet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The MyHome Core plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 4.4.5. This is due to missing authorization in the send_link() AJAX handler and improper token validation in the activate() function. This makes it possible for unauthenticated attackers to generate an activation token for an unconfirmed user account and obtain a valid authentication cookie for that account, including administrators. Successful exploitation requires the MyHome theme to be configured in legacy/WPBakery mode with frontend registration and confirmation email enabled, and the target account must not already have the myhome_agent_confirmed user meta set.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.