CVE-2026-19660: Kritisk login-fejl i Divi Membership
Divi Membership til WordPress har en kritisk godkendelsesfejl, der lader angribere logge ind som enhver bruger, også administratorer. Opdater straks.
Hvad er det?
CVE-2026-19660 er en fejl i godkendelsesmekanismen (CWE-287) i WordPress-pluginet Divi Membership. Funktionen process_paypal_callback skal normalt bekræfte en betaling fra PayPal, men tjekker hverken signatur, ejerskab eller et engangstoken (nonce), der skal forhindre misbrug. Pluginet accepterer i stedet et base64-kodet parameter i webadressen, kaldet paypal_param, og bruger værdien direkte til at logge en bruger ind via WordPress-funktionerne wp_set_current_user og wp_set_auth_cookie. En angriber kan selv vælge hvilket bruger-id der logges ind som, og dermed logge ind som administrator uden adgangskode. Koden, der udløser fejlen, indlæses på alle sider, uanset om PayPal-betaling overhovedet er aktiveret i pluginopsætningen.
Hvem rammer det?
Alle WordPress-websites, der har pluginet Divi Membership installeret i version 2.3.0 eller tidligere. Det gælder, uanset om PayPal bruges som betalingsmetode på sitet, da den sårbare kode altid indlæses. Typisk ramte er foreninger, kurseudbydere, fagforbund og virksomheder med medlemsområder eller betalingsmure bygget på Divi-temaet.
Hvad kan ske?
En angriber uden konto kan overtage en administratorkonto og dermed få fuld kontrol over websitet. I praksis kan det betyde installation af skadelig kode, omdirigering af besøgende til svindelsider, udtræk af medlemsdata og kundeoplysninger, eller at sitet bruges til at sende spam og phishing fra virksomhedens domæne. Da angrebet kræver hverken login eller brugerhandling, kan det ske automatiseret og i stort omfang.
Hvor alvorligt er det?
CVSS-score 9,8 ud af 10, kritisk. Angrebet kræver ingen adgangskode, ingen brugerinteraktion og kan udføres over internettet med lav kompleksitet. Fortrolighed, integritet og tilgængelighed rammes alle fuldt ud, fordi angriberen i praksis får administratorrettigheder. Der er ikke oplyst om sårbarheden aktivt udnyttes på tidspunktet for offentliggørelsen, men den er let at udnytte med simpel manipulation af en webadresse.
Hvad gør jeg nu?
Prioritér disse handlinger, hvis I bruger Divi Membership på jeres WordPress-site:
- Opdater pluginet Divi Membership til den nyeste version, hvor godkendelsestjekket af paypal_param er rettet.
- Kan opdatering ikke ske med det samme, så deaktiver pluginet midlertidigt, indtil det er opdateret.
- Gennemgå loginlog for administratorer og se efter ukendte login-tidspunkter eller nye brugere oprettet uden kendskab.
- Nulstil adgangskoder for alle administratorkonti og tjek for uautoriserede ændringer i filer og indhold.
- Bloker forespørgsler med parameteren paypal_param i jeres webapplikationsfirewall, hvis I har en, som ekstra lag indtil opdatering er gennemført.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på kompromittering, eller hvis I er usikre på, om sitet allerede er ramt.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer Divi Membership til nyeste version med det samme, da fejlen giver fuld administratoradgang uden login. Er opdatering ikke mulig i dag, bør pluginet deaktiveres, indtil det kan ske. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, fordi angrebet kan udføres automatiseret af enhver med internetadgang.
Tidslinje
Konkrete eksempler
Medlemsside for en lokal forening
En dansk idrætsforening bruger Divi Membership til at styre medlemsadgang på deres WordPress-site. En angriber sender en forespørgsel med et manipuleret paypal_param og logger sig ind som foreningens webadministrator. Herfra installeres skjult kode, der omdirigerer besøgende til en svindelside, og foreningen opdager først problemet, da medlemmer begynder at klage over mistænkelige links på sitet.
Ofte stillede spørgsmål
Hvordan ved vi, om vi bruger den sårbare version?
Gå ind i WordPress-administrationen under Plugins og find Divi Membership. Står versionsnummeret til 2.3.0 eller lavere, er sitet sårbart.
Kan vi vente med opdateringen til efter weekenden?
Vi fraråder det. Fejlen kræver hverken login eller brugerhandling, og angriberen kan selv vælge hvilken bruger der logges ind som, inklusive administrator. Jo længere I venter, jo større er risikoen for misbrug.
Hvad gør vi, hvis vi ikke kan opdatere pluginet med det samme?
Deaktiver pluginet midlertidigt. Da den sårbare kode indlæses på alle sidekald uanset PayPal-brug, er deaktivering den eneste sikre midlertidige løsning, hvis opdatering ikke kan ske straks.
Hvordan opdager vi, om vi allerede er blevet ramt?
Se efter uventede administratorlogins, nye brugerkonti I ikke genkender, og ændringer i temafiler eller indhold. Tjek også udgående serverforbindelser for tegn på, at sitet sender spam.
Skal vi anmelde det, hvis vi finder tegn på misbrug?
Hvis I har mistet medlemsdata eller kundeoplysninger, bør I vurdere anmeldelse til Datatilsynet efter databeskyttelsesreglerne samt underrette berørte medlemmer eller kunder.
Er sårbarheden udnyttet i praksis?
Der er ikke oplyst om aktiv udnyttelse på offentliggørelsestidspunktet, men fejlen er enkel at udnytte, og I bør ikke afvente bekræftet misbrug, før I handler.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Divi Membership plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 2.3.0. The `process_paypal_callback` function, hooked to the `init` action, accepts a base64-encoded `paypal_param` GET parameter with no IPN validation, no cryptographic signature check, no ownership verification, and no nonce, allowing it to trust an entirely attacker-controlled user ID value that is passed directly to `wp_set_current_user()` and `wp_set_auth_cookie()`. This makes it possible for unauthenticated attackers to log in as any existing WordPress user — including administrators — by supplying an arbitrary user ID in the `paypal_param` GET parameter, resulting in full site takeover. The vulnerability is further compounded by the fact that the PayPal gateway class is instantiated unconditionally regardless of whether PayPal is enabled or configured, ensuring the vulnerable hook is always registered on every front-end request.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.