CVE-2026-72843: Kritisk fejl i EverShop webshop

CVE-2026-72843 er en fejl i adgangskontrollen i webshop-platformen EverShop. En opdateringsfunktion til kundeoplysninger er sat op som offentligt tilgængelig i systemets kode, så den ikke tjekker, om den, der sender forespørgslen, faktisk er den kunde, der ejer kontoen. Fejlen kaldes en manglende autorisationskontrol, hvilket vil sige, at systemet udfører en handling uden at bekræfte, at afsenderen har ret til det. En angriber, der kender en kundes unikke id, kan derfor ændre den pågældende kundes e-mailadresse og adgangskode og overtage kontoen. Id’et fremgår blandt andet af links i ordrebekræftelsesmails.

Alle virksomheder, der selv driver en webshop bygget på EverShop i version 2.2.1 eller ældre, er berørt. Det gælder både den offentlige del af shoppen, hvor kunder handler, og den bagvedliggende API, der håndterer kundedata. Danske detailvirksomheder, mindre webshops og e-handelsbureauer, der har EverShop som platform, bør tjekke deres version.

En angriber kan overtage en vilkårlig kundekonto ved blot at kende kundens id, som ofte kan findes i links fra ordrebekræftelser eller administrative sider. Angriberen kan skifte e-mail og adgangskode på kontoen og dermed låse den rigtige ejer ude, se ordrehistorik og eventuelt gennemføre køb i kundens navn. For virksomheden betyder det tab af tillid, henvendelser fra berørte kunder og en sandsynlig underretningspligt til Datatilsynet, hvis persondata er blevet ændret eller udstillet uden hjemmel.

Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra brugeren, det kan udføres over internettet af enhver, der kender et kunde-id. Konsekvensen rammer fortrolighed, integritet og tilgængelighed i højeste grad, da angriberen kan læse og ændre data samt spærre den legitime ejer ude. Der er ikke belæg for, at sårbarheden er udnyttet i praksis endnu, men det tekniske forløb er enkelt at gennemføre, og der findes ingen offentligt kendt kode til at udnytte den.

Der findes en rettet version, så det vigtigste er at opdatere med det samme.

1. Opdatér EverShop til version 2.2.1 eller nyere, hvor opdateringsruten er ændret til kun at kunne tilgås af den korrekte bruger.
2. Gennemgå logs for opdateringsforespørgsler på kundeprofiler for at se, om nogen har udnyttet fejlen før opdateringen.
3. Bed kunder, hvis konti viser tegn på ændringer i e-mail eller adgangskode, om at nulstille deres login.
4. Overvej midlertidigt at fjerne kunde-id fra links i ordrebekræftelsesmails, indtil opdateringen er gennemført.
5. Vurdér, om hændelsen skal anmeldes til Datatilsynet, hvis I finder tegn på uautoriseret adgang til persondata.
6. Hvis I ikke selv har ressourcer til at gennemgå logs eller vurdere omfanget, bør I hente hjælp fra en sikkerhedsrådgiver.