CVE-2026-18467: Kritisk fejl i Paytium til WordPress
Kritisk fejl i Paytium-pluginet til WordPress lader angribere oprette en administratorkonto uden login. Opdatér eller deaktivér [paytium]-formularen nu.
Hvad er det?
CVE-2026-18467 er en sårbarhed i Paytium: Mollie payment forms & donations, et WordPress-plugin til betalingsformularer og donationer. Fejlen ligger i en funktion kaldet pt_cf_checkout_meta(), som kopierer alle indsendte formularfelter direkte ind i betalingsdata uden at tjekke, om felterne er blevet manipuleret. En tidligere rettelse i version 5.0.3 lukkede én vej ind, men efterlod denne funktion åben, så en angriber kan sætte rollen ‘administrator’ på en ny WordPress-bruger via et almindeligt formularfelt kaldet pt-user-role.
Hvem rammer det?
Alle WordPress-sites med Paytium-pluginet installeret i version 5.0.3 eller ældre, hvor en [paytium]-formular er tilgængelig for offentligheden, for eksempel en donationsside eller en betalingsformular til et arrangement. Det gælder typisk foreninger, NGO’er, mindre webshops og virksomheder, der bruger Mollie som betalingsudbyder gennem dette plugin.
Hvad kan ske?
En angriber kan gennemføre en almindelig betaling eller donation gennem formularen og samtidig snyde formularen til at oprette en ny WordPress-bruger med administratorrettigheder. Herefter bruger angriberen den almindelige ‘glemt adgangskode’-funktion til at overtage kontoen. Fra en administratorkonto kan angriberen ændre indhold, installere skadelig kode, læse kundedata og betalingsoplysninger eller lukke sitet helt ned.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller adgang til systemet i forvejen, det kan udføres over internettet, og det kræver ingen særlig teknisk kompleksitet. Angriberen skal blot gennemføre en almindelig betaling eller donation gennem den offentlige formular og manipulere et par formularfelter undervejs. Der er ikke krav om, at en administrator eller bruger klikker på noget, sårbarheden udnyttes alene gennem det almindelige betalingsflow.
Hvad gør jeg nu?
Følg disse trin, hvis I bruger Paytium på jeres WordPress-site:
- Opdatér Paytium til en version, der lukker denne konkrete fejl. Findes der endnu ingen rettet version, skal I deaktivere alle offentlige [paytium]-formularer, indtil producenten udsender en opdatering.
- Gennemgå listen over brugere i WordPress og se efter nyoprettede administratorkonti, I ikke selv har oprettet.
- Skift adgangskode på alle eksisterende administratorkonti og aktivér to-faktor-login, hvis det ikke allerede er sat op.
- Gennemgå betalingslog i Mollie og WordPress for mistænkelige eller ukendte transaktioner med lave beløb.
- Sæt en midlertidig regel op i jeres webapplikationsfirewall, hvis I har en, der blokerer usædvanlige felter i pt_form_field-indsendelser.
- Har I allerede fundet en uautoriseret administratorkonto eller mistanke om kompromittering, bør I hente ekstern hjælp til at gennemgå sitet for bagdøre, før I genåbner formularen.
Deaktivér formularen i dag
Vi anbefaler, at I deaktiverer offentlige Paytium-formularer, indtil der findes en opdatering, der lukker denne konkrete fejl, da versionen med den tidligere rettelse stadig er sårbar. Det er ikke forsvarligt at vente til en fast opdateringsdag, fordi angrebet kan udføres af enhver uden login gennem en almindelig betaling. I kan først genåbne formularen, når I har bekræftet, at pluginet er opdateret til en version uden denne sårbarhed, og at der ikke findes uautoriserede administratorkonti på sitet.
Tidslinje
Konkrete eksempler
Donationsside hos en dansk forening
En mindre forening bruger Paytium til at modtage donationer via Mollie på deres WordPress-site. En angriber gennemfører en donation på ti kroner, men indsætter samtidig manipulerede formularfelter, der sætter rollen ‘administrator’ på en ny konto med angriberens egen e-mailadresse. Angriberen bruger derefter ‘glemt adgangskode’ til at logge ind som administrator og udskifter forsiden med reklame for uvedkommende produkter, uden at foreningen opdager det før dage senere.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi er ramt?
Tjek, om Paytium-pluginet er installeret, og hvilken version det kører. Er versionen 5.0.3 eller ældre, og har I en offentlig [paytium]-formular på sitet, er I sårbare.
Kan vi vente til weekenden med at gøre noget?
Nej. Angrebet kræver hverken login eller specialviden, og det kan udføres på et par minutter gennem den almindelige betalingsformular. Deaktivér formularen med det samme, indtil pluginet er opdateret.
Er der en opdatering, der løser problemet?
Version 5.0.3 løser ikke problemet fuldt ud. Tjek hos pluginets producent, om der er udsendt en nyere version, der lukker hele hullet, før I stoler på pluginet igen.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Gennemgå brugerlisten i WordPress under Brugere og se efter administratorkonti, I ikke genkender, især konti oprettet omkring tidspunkter med usædvanlige eller mistænkelige betalinger.
Skal vi anmelde hændelsen, hvis vi finder en uautoriseret administratorkonto?
Har angrebet medført adgang til persondata, for eksempel navne, adresser eller betalingsoplysninger fra kunder eller donorer, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt anmelde det til Datatilsynet inden for 72 timer.
Kan vi bare lade formularen stå, hvis vi holder øje med brugerlisten?
Vi fraråder det. Overvågning opdager først problemet, efter en konto er oprettet. Deaktivering af formularen forhindrer angrebet i at ske overhovedet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Paytium: Mollie payment forms & donations plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 5.0.3. The 5.0.3 patch introduced a wp_hash()/hash_equals() signature gate on the pt-paytium-user-data field, but left a second filter — pt_cf_checkout_meta(), registered on the pt_meta_values hook after the signed builder — that copies every $_POST[‘pt_form_field’][*] key verbatim into the payment meta array without any signature verification; this allows the pt-user-role value it copies to overwrite the signed path’s output, after which paytium_user_data_processing() reads the persisted _pt-user-role post meta and passes it directly as the role argument to wp_insert_user(). This makes it possible for unauthenticated attackers to register a new WordPress account with the administrator role and fully take over the site. Exploitation requires submitting a payment through a publicly-exposed [paytium] shortcode form and completing the resulting payment flow, after which the attacker can seize the new administrator account via the standard lost-password flow on their supplied email address.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.