CVE-2026-19652: Kritisk fejl i Divi Membership til WordPress
Kritisk fejl i Divi Membership-pluginnet til WordPress (CVE-2026-19652) giver angribere fuld administratoradgang uden login. Deaktivér pluginnet nu.
Hvad er det?
CVE-2026-19652 er en fejl i rettighedsstyringen (CWE-269) i WordPress-pluginnet Divi Membership, i alle versioner til og med 2.2.0. Når en besøgende opretter en konto via pluginnets registreringsformular, sender systemet et felt kaldet form_id til serveren. Funktionen, der behandler formularen, bruger dette felt til at afgøre, hvilken brugerrolle den nye konto skal have, ved at sammenligne det med alle roller på sitet uden at tjekke, om værdien overhovedet må bruges til det. En angriber kan selv beregne den værdi, der svarer til rollen administrator, sende den som form_id og samtidig bede om automatisk login. Resultatet er en ny administratorkonto, som angriberen er logget ind på med det samme.
Hvem rammer det?
Alle danske virksomheder, foreninger og kommuner, der driver en WordPress-hjemmeside med pluginnet Divi Membership installeret i version 2.2.0 eller tidligere. Det gælder typisk sider bygget med Divi-temaet, hvor man tilbyder medlemsregistrering, kundelogin eller lukkede sider for betalende medlemmer. Sårbarheden kræver ingen konto på forhånd og rammer alle offentligt tilgængelige sider med en registreringsformular fra pluginnet.
Hvad kan ske?
En angriber kan oprette en administratorkonto og dermed overtage hele hjemmesiden. Herfra kan angriberen installere skadelig kode, omdirigere besøgende til svindelsider, stjæle data fra medlemsdatabasen eller bruge serveren som afsæt til yderligere angreb. For en dansk virksomhed betyder det typisk nedetid, tab af kundedata og et omdømmeproblem, hvis sitet begynder at sende spam eller vise falsk indhold.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen login, ingen handling fra en bruger og kan udføres over internettet med lav teknisk kompleksitet. Den eneste forhindring er en sikkerhedsnonce, en engangskode, som WordPress bruger til at bekræfte formularindsendelser, men denne kode vises offentligt på enhver side med registreringsformularen og kan derfor hentes af enhver besøgende uden login.
Hvad gør jeg nu?
Der er ikke oplyst en rettet version i de tilgængelige data, så det vigtigste er at fjerne adgangen til sårbarheden med det samme.
- Deaktivér Divi Membership-pluginnet, indtil en opdateret version er bekræftet tilgængelig fra udvikleren.
- Tjek listen over administratorbrugere på sitet for konti, I ikke selv har oprettet.
- Gennemgå loginhistorik og serverlogs for usædvanlige POST-forespørgsler til registreringsformularen.
- Skift adgangskoder for alle administratorkonti og roter eventuelle API-nøgler, der er gemt på sitet.
- Genaktivér pluginnet først, når leverandøren har udsendt en opdateret version, og installér den straks.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på uautoriserede administratorkonti, eller hvis I er i tvivl om, hvorvidt sitet allerede er kompromitteret.
Deaktivér pluginnet i dag
Vi anbefaler, at I deaktiverer Divi Membership med det samme, da der ikke foreligger oplysninger om en rettet version. Brug ikke pluginnet igen, før leverandøren har bekræftet en opdatering, og installér den straks den er tilgængelig. Det er kun forsvarligt at vente, hvis sitet slet ikke har pluginnet aktivt eller ikke bruger registreringsformularen offentligt.
Tidslinje
Konkrete eksempler
Forening med medlemsside rammes af overtagelse
En dansk idrætsforening bruger Divi Membership til at lade medlemmer oprette konti og se kontingentoplysninger. En angriber finder registreringssiden, henter den offentlige sikkerhedsnonce og sender en forespørgsel med en beregnet værdi for rollen administrator. Angriberen logges straks ind som administrator og udskifter forsiden med reklamer for et falsk produkt, inden foreningen opdager det.
Ofte stillede spørgsmål
Hvordan ved vi, om vores hjemmeside bruger det ramte plugin?
Gå ind i WordPress-administrationen under Plugins og kig efter Divi Membership. Står versionsnummeret på 2.2.0 eller lavere, er sitet sårbart.
Kan vi vente med at reagere til i morgen eller til weekenden?
Nej. Angrebet kræver hverken login eller brugerhandling, og koden til at udnytte fejlen er offentligt beskrevet. Deaktivér pluginnet samme dag, I opdager det.
Er vi allerede ramt, hvis pluginnet har været aktivt i noget tid?
Tjek listen over administratorbrugere for ukendte konti, og gennemgå serverlogs for POST-kald til registreringssiden med et usædvanligt langt felt kaldet form_id. Find I sådanne konti, bør I behandle sitet som kompromitteret.
Løser det problemet bare at slette den mistænkelige administratorkonto?
Nej. Hvis en angriber har haft administratoradgang, kan der være plantet skjult kode andre steder på sitet. En fuld gennemgang af filer og database anbefales, inden I erklærer sitet rent.
Skal vi anmelde hændelsen, hvis sitet er blevet kompromitteret?
Hvis personoplysninger om medlemmer eller kunder kan være blevet tilgået, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og orientere Datatilsynet inden for 72 timer, hvis der er sket et brud.
Hvad gør vi, hvis vi ikke selv kan vurdere, om sitet er kompromitteret?
Kontakt en sikkerhedsrådgiver til en teknisk gennemgang af sitet, herunder filintegritet, administratorkonti og serverlogs.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Divi Membership plugin for WordPress is vulnerable to Privilege Escalation in versions up to, and including, 2.2.0. This is due to the `dmem_form_submit_handler()` function determining the new user’s role by iterating all WordPress roles and calling `password_verify()` against an attacker-controlled bcrypt hash supplied in the `form_id` POST parameter, with no validation or whitelist of allowed roles. This makes it possible for unauthenticated attackers to register a new account with the administrator role by submitting a locally computed bcrypt hash of `administrator` as `form_id`, and when `auto_login=on` is submitted, be immediately authenticated as that administrator in the same request, resulting in full site takeover. Exploitation requires a WordPress nonce, but that nonce is publicly emitted on any page rendering the Divi Membership registration form and is therefore obtainable by any unauthenticated visitor.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.