CVE-2026-18550: Kritisk fejl i Nokri Job Board WordPress-tema
Kritisk fejl i WordPress-temaet Nokri Job Board giver uautoriserede adgang til at overtage administratorkonti. Opdatér eller deaktivér temaet.
Hvad er det?
CVE-2026-18550 er en sårbarhed i WordPress-temaet Nokri Job Board, der bruges til jobportaler og karrieresider. Fejlen sidder i funktionen til nulstilling af adgangskode, som bruger et reset-token, en kode der beviser, at det er den rigtige bruger, der har bedt om ny adgangskode. Temaet validerer ikke tokenet korrekt: er tokenet tomt, kan en angriber sende et tomt token og alligevel få det til at matche en bruger, hvis token også er tomt eller ikke sat. Det betyder, at en angriber uden login kan nulstille adgangskoden for en hvilken som helst bruger, inklusive administratorer.
Hvem rammer det?
Sårbarheden rammer alle WordPress-sider, der kører temaet Nokri Job Board i version 1.6.6 eller ældre. Det gælder typisk jobportaler, rekrutteringssider og karrieresider hos danske virksomheder og bureauer, der har valgt dette tema til at drive deres site.
Hvad kan ske?
En angriber kan uden login overtage administratorkontoen på jobportalen. Herfra kan angriberen installere skadelig kode, oprette falske jobannoncer til phishing af ansøgeres CV’er og personoplysninger, eller bruge sitet som platform til yderligere angreb. For en virksomhed, der driver rekruttering via sitet, betyder det tab af kontrol over egen platform og risiko for at ansøgeres data misbruges.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen adgangsret og ingen handling fra en bruger. Det kan udføres over internettet mod alle sider med det sårbare tema. Konsekvensen er fuld kompromittering: fortrolighed, integritet og tilgængelighed rammes alle i højeste grad. Der er ikke oplyst konkret udnyttelse i NVD-data pr. offentliggørelsen, men fejltypen er simpel at automatisere, og den slags sårbarheder bliver typisk udnyttet kort efter offentliggørelse.
Hvad gør jeg nu?
Følgende punkter lukker hullet og begrænser skaden, hvis I ikke kan opdatere med det samme.
- Tjek jeres WordPress-installation for temaet Nokri Job Board og find den installerede version. Er den 1.6.6 eller ældre, kontakt temaets udvikler for en opdateret version, da NVD-data ikke angiver et konkret patchnummer.
- Kan I ikke opdatere straks, deaktivér temaets funktion til nulstilling af adgangskode, eller sæt siden i vedligeholdelsestilstand, indtil en løsning er på plads.
- Skift adgangskode for alle administratorkonti og tjek brugerlisten for konti, I ikke selv har oprettet.
- Gennemgå login-logs og aktivitetslogs for uventede adgangskodenulstillinger eller nye administratorer siden offentliggørelsen 01-09-2026.
- Overvej at skifte til et andet tema, hvis udvikleren ikke leverer en opdatering inden for kort tid.
- Er I i tvivl om, hvorvidt jeres site allerede er kompromitteret, eller mangler I ressourcer til at gennemgå logs selv, søg hjælp hos en it-sikkerhedsrådgiver.
Opdatér eller deaktivér inden for 24 timer
Vi anbefaler, at I straks tjekker, om jeres WordPress-side bruger temaet Nokri Job Board, og i givet fald kontakter udvikleren for en opdateret version, da fejlen giver fuld overtagelse af administratorkonti uden login. Kan I ikke få en opdatering med det samme, bør I deaktivere funktionen til nulstilling af adgangskode som midlertidig løsning. Det er kun i orden at vente, hvis I har bekræftet, at temaet ikke er installeret eller allerede er opdateret til en version efter 1.6.6.
Tidslinje
Konkrete eksempler
Rekrutteringsbureau mister kontrollen over jobportalen
Et dansk rekrutteringsbureau driver sin jobportal på WordPress med temaet Nokri Job Board. En angriber sender et tomt reset-token til administratorens konto og får sat en ny adgangskode. Angriberen logger ind som administrator, ændrer jobannoncer til at pege på et falsk ansøgningsformular og opsamler ansøgeres CV’er og kontaktoplysninger til misbrug.
Ofte stillede spørgsmål
Hvordan ved vi, om vores side er ramt?
Gå ind under Udseende og Temaer i jeres WordPress-administration og tjek, om Nokri Job Board er installeret, og hvilken version der kører. Er versionen 1.6.6 eller lavere, er I sårbare.
Kan vi vente til weekenden med at gøre noget?
Nej. Sårbarheden kræver ikke login og kan udnyttes automatiseret over internettet. Vi anbefaler at handle samme dag, I opdager, at temaet er installeret.
Er der en officiel opdatering, vi kan installere?
NVD-data angiver ikke et konkret patchnummer. Kontakt temaets udvikler eller forhandler for at få den nyeste version, og bekræft, at problemet er rettet, før I stoler på opdateringen.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at sårbarheden faktisk er udnyttet, for eksempel uventede administratorer eller ændrede adgangskoder. Har I behandlet personoplysninger, som ansøgeres CV’er, kan det udløse en anmeldelsespligt efter databeskyttelsesreglerne. Kontakt jeres databeskyttelsesrådgiver ved tvivl.
Hvad hvis vi ikke selv bruger funktionen til nulstilling af adgangskode?
Funktionen kan udnyttes, uanset om jeres brugere selv bruger den til hverdag, fordi angriberen selv kalder funktionen direkte. Den skal derfor deaktiveres eller opdateres, uanset brug.
Rammer det andre temaer eller kun Nokri Job Board?
Sårbarheden er specifik for koden i Nokri Job Board-temaet. Andre temaer og WordPress-kernen selv er ikke berørt af denne konkrete fejl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Nokri – Job Board WordPress Theme for WordPress is vulnerable to Privilege Escalation via Account Takeover in all versions up to, and including, 1.6.6. This is due to insufficient reset token validation in the `nokri_reset_password()` function, which allows empty attacker-supplied reset tokens to match empty or unset `sb_password_forget_token` user meta values. This makes it possible for unauthenticated attackers to reset the password of any user, including administrators, and gain access to their account.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.