CVE-2026-8607: XSS-sårbarhed i myCred til WordPress
Sårbarhed i WordPress-plugin’et myCred (CVE-2026-8607) gør det muligt for lavt rettede brugere at indsætte skadelig kode. Opdatér pluginet.
Hvad er det?
CVE-2026-8607 er en sårbarhed i myCred, et populært WordPress-plugin til point, badges og loyalitetsprogrammer. Fejlen er en lagret cross-site scripting sårbarhed, hvor skadelig kode gemmes permanent på siden og køres, hver gang en bruger besøger den. Årsagen er, at pluginet ikke renser input korrekt i attributten ‘wrap’ i en shortcode, en kodeblok redaktører kan indsætte i tekst. En bruger med bidragyder-adgang, en almindelig redaktørrolle uden fuld administratoradgang, kan udnytte dette til at gemme sit eget script i en side eller indlæg.
Hvem rammer det?
Sårbarheden rammer alle WordPress-sider, der bruger myCred i version 3.1 eller ældre. Det gælder virksomheder og kommuner, der bruger pluginet til loyalitetsprogrammer, gamification eller pointsystemer på deres hjemmeside eller webshop. Risikoen kræver, at der findes mindst en bruger med bidragyder-rolle eller højere, for eksempel en ekstern skribent, freelancer eller kundeansat med begrænset adgang til at oprette indhold.
Hvad kan ske?
En bruger med bidragyder-adgang kan indsætte skadelig JavaScript-kode i en side via shortcode-attributten. Koden køres automatisk, når andre brugere, herunder administratorer eller kunder, besøger siden. I praksis kan det bruges til at stjæle sessionscookies, omdirigere besøgende til falske sider eller på sigt eskalere til fuld kontrol over administratorkontoen, hvis en administrator rammes.
Hvor alvorligt er det?
CVSS-score er 6,4 af 10, moderat risiko. Angrebet kræver, at angriberen allerede har et login med bidragyder-rettigheder, hvilket begrænser hvem der kan udføre det. Der kræves ingen handling fra angriberens side ud over at gemme koden, men offeret skal aktivt besøge den ramte side, før koden aktiveres. Der er ikke rapporteret aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser risikoen, mens I opdaterer.
- Opdatér myCred-pluginet til en version nyere end 3.1, hvor fejlen er rettet.
- Gennemgå, hvilke brugere der har bidragyder-adgang eller højere, og fjern adgang for konti, der ikke har brug for det.
- Tjek eksisterende sider og indlæg for uventede shortcodes eller scriptkode i felter, hvor bidragydere har redigeret indhold.
- Aktivér logning af ændringer i indhold, så I kan spore, hvem der har indsat hvad.
- Kontakt Auroa, hvis I ikke selv har ressourcer til at gennemgå brugerroller og opdatere pluginet forsvarligt.
Opdatér inden for 30 dage
Vi anbefaler, at I opdaterer myCred til nyeste version og samtidig gennemgår, hvem der har bidragyder-adgang på jeres WordPress-side. Da udnyttelse kræver et eksisterende login, er det acceptabelt at vente til næste planlagte opdateringsvindue, hvis I har god kontrol over jeres brugerkonti. Har I eksterne skribenter eller mange bidragydere, bør I prioritere opdateringen højere.
Tidslinje
Konkrete eksempler
Loyalitetsprogram på en dansk webshop
En dansk webshop bruger myCred til at give kunder point for køb og anmeldelser. En freelance tekstskribent med bidragyder-adgang indsætter et skadeligt script via shortcode-attributten ‘wrap’ i en produktbeskrivelse. Når webshoppens administrator senere besøger siden for at godkende indholdet, køres scriptet og stjæler administratorens sessionscookie, hvilket giver angriberen adgang til at overtage hele webshoppen.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger WordPress-pluginet myCred i version 3.1 eller ældre. Tjek pluginversionen under Plugins i jeres WordPress-administration.
Hvordan tjekker vi, om vores side allerede er udnyttet?
Gennemgå sider og indlæg oprettet eller redigeret af bidragydere for uventet scriptkode i shortcodes. Se også efter uventet adfærd på siden, som omdirigeringer eller pop-ups.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I har kontrol over, hvem der har bidragyder-adgang, og ingen eksterne har fået tildelt roller, I ikke kender til. Har I mange eksterne skribenter, bør I opdatere hurtigere.
Kræver det, at angriberen har adgang til vores side?
Ja, angriberen skal have et login med mindst bidragyder-rettigheder. Sårbarheden kan derfor ikke udnyttes af en helt udenforstående uden konto.
Skal vi anmelde dette som et sikkerhedsbrud?
Nej, ikke i sig selv. Kun hvis I finder bevis for, at sårbarheden faktisk er udnyttet, og persondata er blevet kompromitteret, skal I vurdere anmeldelse efter databeskyttelsesreglerne.
Hvad koster det at vente for længe?
Uden opdatering risikerer I, at en bruger med bidragyder-adgang kan indsætte kode, der stjæler sessioner fra administratorer og kunder, hvilket kan føre til fuld overtagelse af siden.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Points Management System For Gamification, Ranks, Badges, and Loyalty Rewards Program – myCred plugin for WordPress is vulnerable to Stored Cross-Site Scripting via ‘wrap’ Shortcode Attribute in all versions up to, and including, 3.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.