CVE-2026-18315: Kritisk fejl i TrueBooker til WordPress
TrueBooker-pluginnet til WordPress lader angribere uden login overtage administratorkonti. Deaktivér pluginnet.
Hvad er det?
CVE-2026-18315 er en sårbarhed i WordPress-pluginnet TrueBooker – Appointment Booking and Scheduler System, der bruges til at oprette og administrere bookinger på hjemmesider. Fejlen ligger i en AJAX-funktion (en baggrundsfunktion, der behandler forespørgsler uden at genindlæse siden), som opdaterer brugeroplysninger uden at kontrollere, hvem der sender forespørgslen. En angriber kan sende et parameter, der angiver et bruger-id, og få systemet til at ændre den tilhørende e-mailadresse, uanset hvilken bruger det gælder, herunder en administrator. Herefter kan angriberen bruge WordPress’ almindelige funktion til at nulstille kodeord og dermed overtage kontoen fuldstændigt.
Hvem rammer det?
Sårbarheden rammer alle WordPress-hjemmesider, der har installeret pluginnet TrueBooker – Appointment Booking and Scheduler System i version 1.2.6 eller ældre. Det gælder typisk mindre virksomheder, klinikker, saloner og andre servicevirksomheder, der bruger pluginnet til at lade kunder booke tider online.
Hvad kan ske?
En angriber kan uden at logge ind overtage en administratorkonto på hjemmesiden. Med adgang som administrator kan angriberen ændre indhold, installere skadelig kode, oprette bagdøre til fremtidig adgang, læse eller stjæle kundedata fra bookingsystemet og i værste fald bruge hjemmesiden som springbræt til andre systemer i virksomheden.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet mod netværket. Der er ikke rapporteret om aktiv udnyttelse på offentliggørelsesdatoen, men den lave kompleksitet og fraværet af krav om adgang gør sårbarheden let at udnytte, hvis den bliver kendt bredt.
Hvad gør jeg nu?
Følgende trin bør gennemføres i denne rækkefølge:
- Deaktiver pluginnet TrueBooker med det samme, eller opdater til en version, hvor fejlen er rettet, hvis en sådan er tilgængelig.
- Gennemgå listen over WordPress-brugere for uventede ændringer i e-mailadresser, især på administratorkonti.
- Nulstil kodeord for alle administratorkonti og aktivér to-faktor-login, hvis det ikke allerede er i brug.
- Gennemgå login- og aktivitetslogs for tegn på uautoriseret adgang siden pluginnet blev installeret.
- Tag en sikkerhedskopi af hjemmesiden, hvis I ikke allerede har en, så I kan gendanne, hvis noget er blevet ændret.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriseret adgang, eller hvis I er i tvivl om, hvilken version af pluginnet der kører.
Deaktiver pluginnet inden for 24 timer
Vi anbefaler, at pluginnet TrueBooker deaktiveres, indtil en rettet version er bekræftet og installeret. Sårbarheden kræver ingen adgang eller brugerhandling, og konsekvensen er fuld overtagelse af administratorkonti, så det er ikke forsvarligt at vente. Det er kun i orden at vente, hvis I kan bekræfte, at pluginnet slet ikke er installeret på jeres hjemmeside.
Tidslinje
Konkrete eksempler
Booking-hjemmeside hos en dansk klinik
En fysioterapiklinik bruger TrueBooker til at lade kunder booke behandlinger online. En angriber udnytter fejlen til at ændre administratorens e-mailadresse og gennemfører derefter en kodeordsnulstilling. Angriberen får fuld adgang til klinikkens hjemmeside, kan læse kundeoplysninger fra bookingsystemet og placere skadelig kode på siden.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger TrueBooker-pluginnet?
Log ind i WordPress-administrationen, gå til Plugins, og se om TrueBooker – Appointment Booking and Scheduler System står på listen. Bemærk versionsnummeret, hvis pluginnet er installeret.
Er vores hjemmeside allerede blevet ramt?
Tegn på det kan være uventede ændringer i administratorers e-mailadresser eller ukendte kodeordsnulstillinger i loggen. Gennemgå brugerlisten og aktivitetsloggen for at afklare det.
Kan vi vente til weekenden med at reagere?
Nej. Sårbarheden kræver ingen login og kan udnyttes fra internettet uden brugerhandling. Deaktiver pluginnet med det samme, og vent ikke til en fast opdateringsdag.
Er der en opdateret version af pluginnet, der løser problemet?
Det fremgår ikke af de tilgængelige oplysninger, at der findes en rettet version. Tjek pluginnets side i WordPress-biblioteket, og deaktiver pluginnet, indtil en sikker version er bekræftet.
Skal vi anmelde dette som et sikkerhedsbrud?
Hvis I finder konkrete tegn på, at en administratorkonto er blevet overtaget, og persondata kan være kompromitteret, skal I vurdere anmeldepligt efter databeskyttelsesreglerne og kontakte en rådgiver for at afklare omfanget.
Rammer sårbarheden også andre plugins fra samme leverandør?
Der er ikke oplysninger om, at andre plugins fra samme leverandør er ramt. Sårbarheden er specifik for TrueBooker – Appointment Booking and Scheduler System.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to Authorization Bypass Through User-Controlled Key leading to Account Takeover in all versions up to, and including, 1.2.6. This is due to the admin_user_create_cus AJAX handler lacking any authentication or capability check before passing the attacker-supplied truebooker_wp_user_id parameter directly to wp_update_user. This makes it possible for unauthenticated attackers to overwrite the email address of any WordPress user — including an administrator — and then complete the standard WordPress lost-password flow to fully take over the targeted account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.