CVE-2026-16142: Kritisk fejl i TrueBooker til WordPress

CVE-2026-16142 er en kritisk sårbarhed i WordPress-pluginet TrueBooker, som bruges til booking-funktioner på hjemmesider. Fejlen ligger i en funktion, der opdaterer brugeroplysninger, og som ved en fejl er åben for besøgende, der ikke er logget ind. Funktionen tager imod et bruger-id og en ny e-mailadresse uden at kontrollere, om afsenderen har ret til at ændre netop den konto. Det kaldes en IDOR-fejl (Insecure Direct Object Reference), altså at systemet stoler blindt på et id, i stedet for at tjekke ejerskab. En angriber kan derfor sætte sin egen e-mail på hvilken som helst konto, inklusive administrator, og bagefter bruge WordPress’ almindelige ‘glemt adgangskode’-funktion til at få et nyt kodeord tilsendt til sin egen indbakke.

Alle hjemmesider, der kører WordPress med pluginet TrueBooker i version 1.2.6 eller ældre. Det gælder typisk mindre og mellemstore virksomheder samt foreninger og kommunale institutioner, der bruger pluginet til at lade kunder eller borgere booke tid, lokale eller ydelser online. Det er uden betydning, hvor mange brugere sitet har, da sårbarheden rammer selve administrationen af brugerkonti.

En angriber kan overtage administratorkontoen på hjemmesiden helt uden at kende et brugernavn eller kodeord. Med adminadgang kan angriberen installere skadelig kode, oprette skjulte bagdøre, ændre indhold, stjæle kundedata fra bookingsystemet eller bruge sitet til at sende spam og angreb videre til andre. For en dansk virksomhed betyder det typisk driftsstop, oprydning og i nogle tilfælde pligt til at underrette Datatilsynet, hvis persondata om kunder er blevet tilgået.

CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen forudgående login, ingen adgangskode og ingen handling fra en bruger på sitet. Det kan gennemføres over internettet med lav teknisk kompleksitet, hvilket gør det let at automatisere. Der er ikke offentliggjort oplysninger om, at sårbarheden aktivt bliver udnyttet på tidspunktet for offentliggørelsen, men den lave kompleksitet og det manglende krav om login gør den attraktiv for automatiserede angreb.

Så snart I ved, at TrueBooker er installeret på jeres WordPress-site, bør I handle i denne rækkefølge:

1. Deaktivér pluginet TrueBooker med det samme, indtil der findes en opdateret version, der lukker hullet.
2. Undersøg brugerlisten i WordPress for konti med ukendte eller ændrede e-mailadresser, især kontoen for administrator.
3. Nulstil adgangskoder for alle administratorkonti og aktivér to-faktor-godkendelse, hvis det ikke allerede er slået til.
4. Gennemgå sitets logfiler for uventet aktivitet omkring add_front_user_update, ændringer af brugere eller nye administratorkonti.
5. Hold øje med, om plugin-udvikleren udsender en rettet version, og opdatér straks den bliver tilgængelig.
6. Hvis I ikke selv har ressourcer til at gennemgå logfiler og brugerkonti, bør I hente hjælp fra en it-sikkerhedsrådgiver til at vurdere, om sitet allerede er kompromitteret.