CVE-2026-9055: Kritisk fejl i Amelia til WordPress
Kritisk fejl i WordPress-pluginnet Amelia (CVE-2026-9055) lader uautoriserede brugere blive administrator. Opdatér eller deaktivér pluginnet.
Hvad er det?
CVE-2026-9055 er en sårbarhed i det kommercielle WordPress-plugin Amelia (Booking for Appointments and Events Calendar), der bruges til at booke tider og arrangementer på hjemmesider. Fejlen sidder i det endepunkt, der opdaterer kundedata. Fordi pluginnet ikke tjekker en parameter kaldet ‘type’ korrekt, kan en besøgende sætte sin egen brugerrolle til ‘manager’ og derefter få oprettet en administrator-bruger ved at udnytte en anden parameter, ‘externalId’. Fejltypen kaldes utilstrækkelig håndtering af rettigheder (CWE-269): systemet giver adgang, det ikke skulle give.
Hvem rammer det?
Det rammer alle danske virksomheder, der kører WordPress med Amelia Premium i version 8.0 til 9.6.2. Det gælder typisk klinikker, frisører, konsulenter, tandlæger og andre, der bruger pluginnet til online booking af tider. Både virksomheder, der selv driver hjemmesiden, og de, der har outsourcet driften til et bureau, bør tjekke om pluginnet er installeret.
Hvad kan ske?
En angriber, der ikke behøver at være logget ind, kan skaffe sig administratorrettigheder på hjemmesiden. Med de rettigheder kan angriberen installere skadelig kode, ændre eller slette indhold, tilgå kundedata fra bookingsystemet som navne, telefonnumre og aftaler, og bruge hjemmesiden til at sende phishing-mails eller sprede malware til besøgende. I praksis kan hele hjemmesiden og de data, den indeholder, betragtes som kompromitteret.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kræver ikke at nogen klikker på noget, og kan udføres over internettet. Konsekvensen er fuld adgang til fortrolighed, integritet og tilgængelighed af hjemmesiden. Der er ved offentliggørelsen ikke oplysninger om, at fejlen aktivt bliver udnyttet i angreb, men den lave tekniske barriere gør det sandsynligt, at det sker hurtigt, når sårbarheden er offentligt kendt.
Hvad gør jeg nu?
Følg punkterne i denne rækkefølge:
- Opdatér Amelia-pluginnet til den nyeste version fra udvikleren, eller deaktivér pluginnet helt, hvis en rettet version ikke findes endnu.
- Gennemgå listen over WordPress-brugere for uventede konti, især med rollen ‘manager’ eller ‘administrator’.
- Skift adgangskode for alle administratorbrugere på hjemmesiden.
- Tjek server- og webserverlogs for mistænkelige forespørgsler mod kundeopdaterings-endepunktet i Amelia.
- Overvej at sætte en webapplikationsfirewall op som ekstra lag, indtil pluginnet er opdateret eller fjernet.
- Kontakt en sikkerhedsrådgiver, hvis I finder tegn på ukendte administratorkonti eller ændringer, I ikke selv har foretaget.
Deaktivér pluginnet i dag
Vi anbefaler, at I straks kontrollerer, om Amelia Premium er installeret på jeres hjemmeside, og hvilken version I kører. Er I i tvivl om, hvornår en rettet version udkommer, bør pluginnet deaktiveres, indtil det er bekræftet sikkert. Det er ikke forsvarligt at vente til weekenden med denne sårbarhed, fordi angrebet ikke kræver login og kan udføres automatisk af scanningsværktøjer.
Tidslinje
Konkrete eksempler
Frisørsalon med online booking
En frisørsalon bruger WordPress med Amelia til at lade kunder booke tider online. En angriber udnytter sårbarheden til at oprette en administratorbruger uden at logge ind, overtager herefter hjemmesiden og indsætter skadelig kode, der viser falske betalingssider til kunderne. Salonen opdager først problemet, da kunder klager over mistænkelige mails.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Amelia?
Gå ind under Plugins i jeres WordPress-administration og se, om ‘Booking for Appointments and Events Calendar – Amelia’ står på listen, og hvilken version der er installeret. Er versionen mellem 8.0 og 9.6.2, er I sårbare.
Kan vi vente til efter weekenden med at gøre noget?
Nej. Sårbarheden kan udnyttes uden login og uden at nogen klikker på noget, og angreb kan foregå automatisk. Vi anbefaler at deaktivere pluginnet eller opdatere det samme dag, I opdager problemet.
Hvad gør vi, hvis vi ikke kan deaktivere pluginnet uden at bookingsystemet stopper med at virke?
Sæt i så fald en webapplikationsfirewall op, der blokerer forespørgsler til customer-update-endepunktet, og overvåg brugerlisten tæt for nye administratorkonti, mens I afventer en rettelse fra udvikleren.
Hvordan tjekker vi, om vi allerede er blevet ramt?
Se efter uventede brugere med rollen ‘manager’ eller ‘administrator’ i WordPress, og gennemgå logfiler for forespørgsler med parametrene ‘type’ og ‘externalId=0’ mod Amelia-endepunktet. Fandt I ukendte administratorkonti, bør adgangskoder skiftes, og hjemmesiden bør gennemgås for skadelig kode.
Skal vi anmelde det, hvis vi er blevet kompromitteret?
Er kundedata som navne, telefonnumre eller aftaler blevet tilgået eller ændret af en uautoriseret part, kan det udgøre en anmeldelsespligtig databeskyttelsesbrist. Kontakt jeres databeskyttelsesrådgiver for en konkret vurdering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Booking for Appointments and Events Calendar – Amelia (Premium) plugin for WordPress is vulnerable to Privilege Escalation in versions 8.0 – 9.6.2. This is due to insufficient validation of the attacker-controlled ‘type’ parameter in the customer update endpoint, which allows customers to set their role to ‘manager’ and trigger creation of a WordPress user with the wpamelia-manager role when the ‘externalId’ parameter is set to 0. This makes it possible for unauthenticated attackers to escalate their privileges to administrator by first elevating to the manager role, then creating a provider entity linked to an administrator user ID and overwriting that administrator’s password.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.