CVE-2026-16310: Kritisk fejl i MemberDash til WordPress
Sårbarhed i WordPress-pluginnet MemberDash lader angribere uden login overtage administratorkonti. Deaktivér pluginnet, til der findes en opdatering.
Hvad er det?
CVE-2026-16310 er en sårbarhed i WordPress-pluginnet MemberDash, som bruges til medlemskaber og betalingsmure på hjemmesider. Fejlen er en såkaldt Insecure Direct Object Reference (IDOR), hvor et system stoler på et id-parameter fra brugeren uden at kontrollere, om vedkommende faktisk har ret til det pågældende objekt. I MemberDash betyder det, at en angriber under registrering kan angive et vilkårligt bruger-id og derved ændre adgangskoden for en anden konto, herunder administratorkonti. Offeret får ingen besked om, at adgangskoden er ændret.
Hvem rammer det?
Alle WordPress-installationer, der bruger MemberDash-pluginnet i version 1.8.5 eller ældre, er ramt. Det gælder typisk foreninger, kursusudbydere og virksomheder, der sælger medlemskaber, indhold bag betalingsmur eller onlinekurser via WordPress. Fejlen kræver ikke, at angriberen er logget ind, og den kan udnyttes mod alle typer bruger, inklusive administrator.
Hvad kan ske?
En angriber kan overtage administratorkontoen på hjemmesiden uden at have adgang til den fra start. Med administratoradgang kan de installere skadelig kode, ændre indhold, stjæle kundedata, medlemsoplysninger og betalingsdata, eller bruge sitet som afsæt for phishing og videre angreb. Fordi offeret ikke får besked om password-ændringen, kan overtagelsen stå uopdaget i lang tid.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Det er dermed en af de mest alvorlige typer sårbarhed, fordi angriberen ikke skal narre nogen eller først skaffe sig adgang. Der er ved offentliggørelsen ikke oplysninger om aktiv udnyttelse i praksis, men den lave kompleksitet gør det sandsynligt, at automatiserede angreb vil dukke op.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Deaktivér MemberDash-pluginnet på jeres WordPress-site, indtil der findes en opdateret version, der retter sårbarheden.
- Tjek jeres pluginversion under WordPress-administration og notér, om I kører 1.8.5 eller ældre.
- Hvis pluginnet ikke kan deaktiveres uden at bryde funktionalitet, spær adgang til registrerings- og id-relaterede funktioner via jeres webserver eller en firewall til webapplikationer (WAF).
- Gennemgå brugerlisten for administratorkonti I ikke genkender, og nulstil adgangskoder for alle administratorer som en sikkerhedsforanstaltning.
- Følg leverandørens hjemmeside eller WordPress-pluginbiblioteket for en opdatering, og installér den, så snart den findes.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om jeres site allerede er kompromitteret, eller hvis I mangler ressourcer til at overvåge sitet i mellemtiden.
Deaktivér pluginnet i dag
Vi anbefaler, at I deaktiverer MemberDash-pluginnet med det samme og nulstiller adgangskoder for jeres administratorer, da der ved offentliggørelsen ikke findes en rettet version. Det er kun forsvarligt at vente, hvis pluginnet allerede er deaktiveret eller sitet ikke er tilgængeligt fra internettet. Følg leverandørens opdateringer, og geninstallér funktionaliteten, så snart en sikker version er tilgængelig.
Tidslinje
Konkrete eksempler
Overtagelse af kursusportal
En dansk kursusudbyder bruger WordPress med MemberDash til at sælge onlinekurser og administrere medlemskaber. En angriber registrerer sig på sitet og angiver administratorens bruger-id i registreringsformularen, hvorved administratorens adgangskode ændres uden varsel. Angriberen logger derefter ind som administrator, får adgang til alle kursisters kontaktoplysninger og betalingsdata, og udskifter sitets indhold med skadelig kode.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger MemberDash?
Gå ind i WordPress-administration under ‘Plugins’ og se, om MemberDash står på listen, og hvilken version der er installeret. Er versionen 1.8.5 eller lavere, er I ramt.
Kan vi vente til weekenden med at reagere?
Nej. Sårbarheden kræver ikke login og kan udnyttes automatiseret, så vi anbefaler, at I deaktiverer pluginnet samme dag, I bliver bekendt med problemet.
Er vores administratorkonti allerede overtaget?
Det kan I ikke se direkte, da offeret ikke får besked om password-ændringer. Gennemgå brugerlisten for ukendte administratorkonti, og nulstil adgangskoder for alle administratorer for at være på den sikre side.
Skal vi anmelde dette til Datatilsynet?
Hvis I finder tegn på, at en konto faktisk er blevet overtaget og persondata er kompromitteret, kan det udløse anmeldepligt efter GDPR. Vurdér konkret om medlems- eller kundedata har været eksponeret, gerne med bistand fra en juridisk eller sikkerhedsfaglig rådgiver.
Findes der en opdateret version af MemberDash?
Der er ved offentliggørelsen ikke oplysninger om en rettet version. Følg pluginnets side i WordPress-pluginbiblioteket eller leverandørens hjemmeside for opdateringer.
Kan vi bruge en anden løsning i mellemtiden?
Ja, overvej at midlertidigt lukke registreringsfunktionen eller bruge en firewall til webapplikationer (WAF), der blokerer mistænkelige forespørgsler til id-parameteren, indtil en opdatering findes.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The MemberDash plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.8.5 via the ‘id’ parameter due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to change the password of any WordPress user, including administrators, by supplying an arbitrary user ID during registration, and take over their account without any notification sent to the victim.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.