CVE-2026-5513: Lagret XSS i Bookly-plugin til WordPress
Bookly-pluginet til WordPress (op til version 27.2) er sårbart for lagret cross-site scripting via en cookie. Slå indstillingen fra, eller opdatér.
Hvad er det?
Bookly er et populært WordPress-plugin til booking af tider og aftaler. I versioner op til og med 27.2 kan en angriber udnytte en fejl af typen cross-site scripting (XSS), hvor skadelig kode gemmes på siden og køres, når andre besøger den. Fejlen ligger i cookien ‘bookly-customer-full-name’, som pluginet gemmer, men ikke renser ordentligt, før den vises igen. Det kræver, at indstillingen ‘Remember personal information in cookies’ (husk personlige oplysninger i cookies) er slået til, hvilket den ikke er som standard. En angriber behøver ikke være logget ind for at placere den skadelige kode.
Hvem rammer det?
Alle danske virksomheder, der bruger WordPress med Bookly-pluginet i version 27.2 eller ældre, og som har slået indstillingen ‘Remember personal information in cookies’ til. Det gælder typisk klinikker, frisører, konsulentvirksomheder og andre, der bruger Bookly til at lade kunder booke tider online og har aktiveret automatisk udfyldning af kundeoplysninger for at gøre bookingen lettere for gengangere.
Hvad kan ske?
En angriber kan indsætte skadelig kode i cookien, som bliver gemt på siden. Når en medarbejder eller administrator senere åbner den side, hvor bookingoplysningerne vises, kører koden i deres browser. Det kan bruges til at stjæle admin-sessioner, omdirigere brugere til falske sider eller vise phishing-indhold direkte på jeres egen hjemmeside. Da fejlen ikke kræver login for angriberen, kan den udnyttes af hvem som helst, der kan nå bookingformularen.
Hvor alvorligt er det?
CVSS-scoren er 7,2 af 10, hvilket er alvorligt. Angrebet kræver ikke login (PR:N) og ingen handling fra offeret udover at besøge en normal side i systemet (UI:N), og det kan udføres over almindeligt netværk (AV:N) med lav kompleksitet. Konsekvensen er dog begrænset til fortrolighed og integritet i lav grad, mens tilgængeligheden ikke påvirkes. Sårbarheden virker kun, hvis indstillingen om at huske kundeoplysninger i cookies er aktiveret, hvilket ikke er standard. Der er ikke oplysninger om aktiv udnyttelse i naturen, men detaljerne er offentliggjort.
Hvad gør jeg nu?
Følg disse skridt for at lukke hullet og begrænse risikoen:
- Gå ind i Bookly’s indstillinger og slå ‘Remember personal information in cookies’ fra, hvis den er aktiveret. Det lukker hullet med det samme, uden at I skal vente på en opdatering.
- Opdatér Bookly-pluginet til nyeste version, så snart leverandøren udgiver en rettelse, og hold øje med udmeldinger fra Bookly.
- Gennemgå administratorsider og bookingoversigter for tegn på uventede scripts eller pop-ups, især hvis indstillingen har været aktiveret i en periode.
- Begræns adgang til wp-admin og aktivér totrinsbekræftelse for alle administratorer, så en stjålet session ikke giver fuld adgang.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på misbrug, eller hvis I er i tvivl om, hvordan jeres Bookly-opsætning er konfigureret.
Slå indstillingen fra inden få dage
Vi anbefaler, at I tjekker Bookly’s indstillinger i dag og slår ‘Remember personal information in cookies’ fra, hvis den er aktiveret. Det er den hurtigste og sikreste løsning, mens I venter på en officiel opdatering fra leverandøren. Bruger I slet ikke denne indstilling, kan opdateringen vente til jeres almindelige opdateringsvindue, da sårbarheden ikke kan udnyttes uden den.
Tidslinje
Konkrete eksempler
Frisørsalon med online booking
En dansk frisørsalon bruger Bookly til at lade kunder booke tider og har slået ‘husk mine oplysninger’ til for at gøre det nemmere for stamkunder. En angriber udfylder navnefeltet med skadelig kode via cookien, og når salonens medarbejder senere åbner bookingoversigten i administrationen, køres koden og stjæler medarbejderens login-session. Angriberen kan derefter ændre bookinger eller få adgang til andre dele af hjemmesiden.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er kun sårbare, hvis I bruger Bookly-pluginet i version 27.2 eller ældre, og hvis indstillingen ‘Remember personal information in cookies’ er slået til. Tjek pluginets indstillinger for at se, om denne funktion er aktiveret.
Hvordan tjekker vi, om indstillingen er aktiveret?
Log ind i WordPress-administrationen, gå til Bookly’s indstillinger, og find sektionen om cookies eller kundeoplysninger. Er ‘Remember personal information in cookies’ slået til, bør den deaktiveres, eller I bør opdatere pluginet, så snart en rettelse findes.
Kan vi vente til weekenden med at rette det?
Hvis indstillingen er aktiveret, bør I slå den fra nu, da det tager få minutter og lukker hullet fuldstændigt. Er indstillingen deaktiveret, kan I roligt vente til jeres næste planlagte opdatering af pluginer.
Kræver angrebet, at nogen logger ind?
Nej. Angriberen behøver ikke være logget ind for at placere den skadelige kode i cookien. Koden aktiveres først, når en anden bruger, for eksempel en administrator, senere ser den påvirkede side.
Skal vi anmelde dette til myndighederne?
Kun hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet, og at persondata eller systemadgang er blevet kompromitteret. Er der tale om personoplysninger, skal det vurderes i forhold til jeres forpligtelser under databeskyttelsesreglerne.
Påvirker det vores kunders data?
Sårbarheden i sig selv giver ikke direkte adgang til kundedata, men kan bruges til at stjæle administratorsessioner eller vise falsk indhold. Hvis det udnyttes til at få adgang til admin-kontoen, kan konsekvenserne blive større.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Online Scheduling and Appointment Booking System – Bookly plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘bookly-customer-full-name’ cookie in versions up to, and including, 27.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires ‘Remember personal information in cookies’ setting to be enabled (disabled by default).
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.