CVE-2026-78570: Kritisk fejl i Total Donations til WordPress
Fejl i WordPress-pluginnet Total Donations (CVE-2026-78570) lader angribere uden login blive administrator. Opdater pluginnet nu.
Hvad er det?
CVE-2026-78570 er en fejl i rettighedsstyringen i WordPress-pluginnet Total Donations, der bruges til at tage imod donationer på hjemmesider. Fejltypen kaldes CWE-269, forkert rettighedsstyring, og betyder, at pluginnet ikke kontrollerer korrekt, hvilke rettigheder en bruger har. I praksis kan en angriber, der ikke er logget ind, sende en anmodning til hjemmesiden og selv tildele sig administratorrettigheder, det højeste niveau i WordPress. Fejlen findes i alle versioner af pluginnet til og med 2.0.5.
Hvem rammer det?
Det rammer alle WordPress-hjemmesider, der har pluginnet Total Donations installeret i version 2.0.5 eller ældre. Det gælder typisk foreninger, velgørende organisationer, skoler og virksomheder, der bruger pluginnet til at samle donationer ind. Sårbarheden kræver ikke, at angriberen har en konto på hjemmesiden, kun at pluginnet er aktivt.
Hvad kan ske?
En angriber, der får administratorrettigheder, kan overtage hele hjemmesiden. Det omfatter at ændre kontooplysninger til donationer, installere skadelig kode, læse eller stjæle oplysninger om donorer, og sætte hjemmesiden ud af drift. For en dansk organisation kan det betyde tabte donationer, mistillid fra givere og et arbejde med at genopbygge hjemmesiden fra bunden.
Hvor alvorligt er det?
Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kan udnyttes over internettet, kræver ingen login og ingen handling fra en bruger på hjemmesiden. Konsekvensen er fuld adgang til fortrolighed, integritet og tilgængelighed af hjemmesiden. Der er pr. offentliggørelsesdatoen ikke oplysninger om, at fejlen er udnyttet i aktive angreb, men den er nem at udnytte, og en offentlig beskrivelse af fejlen findes.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden, hvis det allerede er sket:
- Opdater pluginnet Total Donations til en version nyere end 2.0.5 med det samme.
- Kan pluginnet ikke opdateres endnu, så deaktiver det, til en opdatering er tilgængelig.
- Tjek listen over administratorbrugere på hjemmesiden for konti, I ikke kender.
- Gennemgå loggen for usædvanlig aktivitet omkring donationsformularen og adminsiden.
- Skift adgangskoder til alle administratorkonti, hvis I finder tegn på misbrug.
- Kontakt jeres webbureau eller en sikkerhedsrådgiver, hvis I ikke selv kan vurdere, om hjemmesiden er kompromitteret.
Opdatér pluginnet i dag
Vi anbefaler, at I opdaterer pluginnet Total Donations til nyeste version i dag, da sårbarheden kan udnyttes uden login og giver fuld administratoradgang. Er en opdatering ikke tilgængelig endnu, bør pluginnet deaktiveres, indtil den kommer. Det er ikke forsvarligt at vente til en fast servicevindue eller til weekenden, da fejlen er offentligt beskrevet og let at udnytte.
Tidslinje
Konkrete eksempler
Velgørende forenings hjemmeside overtaget
En dansk velgørende forening bruger Total Donations til at samle donationer ind via sin hjemmeside. En angriber udnytter fejlen til at oprette en administratorkonto uden at logge ind, og ændrer derefter bankoplysningerne på donationsformularen, så indbetalinger går til angriberens konto i stedet. Foreningen opdager først problemet, når donorer klager over, at deres donationer ikke fremgår korrekt.
Ofte stillede spørgsmål
Hvordan ved vi, om vores hjemmeside bruger det sårbare plugin?
Log ind i WordPress-administrationen, gå til Plugins, og se om Total Donations er installeret, og hvilken version der står. Er versionen 2.0.5 eller ældre, er hjemmesiden sårbar.
Kan vi vente med opdateringen til vores næste servicevindue?
Vi anbefaler ikke at vente. Fejlen kræver ikke login og kan udnyttes automatisk af scanningsværktøjer, så tidsvinduet, hvor jeres hjemmeside er sårbar, bør holdes så kort som muligt.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Se efter administratorbrugere, I ikke selv har oprettet, ændringer i indstillinger for donationer eller betaling, og ukendte plugins eller filer på hjemmesiden. Er I i tvivl, bør en teknisk gennemgang foretages.
Skal vi anmelde det til myndighederne, hvis vi er blevet ramt?
Er personoplysninger om donorer eller betalingsoplysninger blevet tilgået af en uautoriseret part, kan det udløse pligt til at anmelde bruddet til Datatilsynet inden for 72 timer. Vi rådgiver gerne om, hvornår det er tilfældet.
Er andre plugins eller dele af WordPress også ramt?
Nej, sårbarheden findes specifikt i pluginnet Total Donations. Andre plugins og WordPress-kernen er ikke berørt af denne konkrete fejl.
Hvad gør vi, hvis pluginnet ikke længere udvikles?
Er der ikke kommet en opdatering, og pluginnet ikke længere bliver udviklet, bør det fjernes helt fra hjemmesiden og erstattes af et alternativ, der bliver holdt opdateret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Total Donations plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 2.0.5. This makes it possible for unauthenticated attackers to elevate their privileges to that of an adminsitrator.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.