CVE-2026-91998: Kritisk autorisationsfejl i Casdoor
Kritisk fejl i Casdoor giver adgang til alle organisationers brugeradministration med credentials fra én applikation. Opdatér til rettet version nu.
Hvad er det?
CVE-2026-91998 er en autorisationsfejl i identitetsstyringssystemet Casdoor, som bruges som fælles login (SSO) til flere applikationer på tværs af en organisation. Fejlen sidder i endpointet /api/mcp, en teknisk adgangsvej som applikationer bruger til at tale med Casdoor. Systemet kontrollerer ikke ordentligt, om en applikations clientId og clientSecret, en form for adgangskode mellem to systemer, kun giver ret til at administrere brugere i den ene organisation, applikationen hører til. Med gyldige nøgler fra bare en enkelt tilsluttet applikation kan man derfor administrere brugere i alle organisationer i installationen, ikke kun sin egen.
Hvem rammer det?
Det rammer alle, der kører Casdoor i version 4.4.0 eller tidligere, og som har mere end én applikation eller organisation tilsluttet samme Casdoor-installation. Det er typisk kommuner, koncerner og virksomheder, der bruger Casdoor som fælles login-løsning for flere interne systemer, kundeportaler eller datterselskaber.
Hvad kan ske?
En angriber, der kender clientId og clientSecret til bare en enkelt tilsluttet applikation, kan liste alle brugere i alle organisationer, herunder e-mailadresser og password-salte, en teknisk værdi der bruges til at gætte adgangskoder. Angriberen kan desuden oprette nye administratorkonti, ændre eksisterende brugere eller slette dem i organisationer, applikationen aldrig havde adgang til. I praksis kan en enkelt kompromitteret integration føre til fuld overtagelse af brugerstyringen for hele virksomheden eller kommunen.
Hvor alvorligt er det?
CVSS-score er 9,9 ud af 10, kritisk. Angrebet kræver ikke, at en bruger klikker på noget, og det kan udføres over netværket. Det kræver kun lave rettigheder i form af clientId og clientSecret fra en enkelt tilsluttet applikation, ikke administratoradgang. Der er ikke oplyst nogen kendt aktiv udnyttelse i naturen på offentliggørelsesdatoen, men fejlen er let at udnytte for enhver, der allerede har adgang til en tilsluttet applikations nøgler.
Hvad gør jeg nu?
Følgende rækkefølge lukker hullet og begrænser skaden, hvis nøgler allerede er kompromitteret.
- Opdatér Casdoor til en version nyere end 4.4.0, hvor autorisationskontrollen på /api/mcp er rettet.
- Udskift clientId og clientSecret for alle tilsluttede applikationer, da eksisterende nøgler skal betragtes som potentielt kendt af uvedkommende.
- Gennemgå logs for /api/mcp for uventede opslag, nye administratorkonti eller ændrede brugere i perioden op til opdateringen.
- Begræns netværksadgang til Casdoor-administrationsfladen, så kun kendte applikationsservere kan nå endpointet.
- Tvangsnulstil adgangskoder for brugere, hvor password-salte kan være blevet udtrukket.
- Er I i tvivl om, hvor Casdoor er integreret i jeres systemer, eller om I allerede er kompromitteret, bør I hente ekstern hjælp til logtjek og oprydning.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer Casdoor til en rettet version og udskifter alle clientId- og clientSecret-nøgler, så snart det praktisk kan lade sig gøre, da fejlen kræver meget lidt af en angriber. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, da en enkelt kompromitteret integration giver adgang til alle organisationer i installationen. Har I ikke selv overblik over jeres Casdoor-opsætning og integrationer, bør I få en gennemgang lavet, inden I lukker sagen.
Tidslinje
Konkrete eksempler
Kompromitteret intern applikation giver adgang til hele koncernen
En dansk koncern bruger Casdoor som fælles login for flere datterselskaber, hvor hvert selskab er sat op som sin egen organisation. En medarbejder i en mindre afdeling har adgang til en intern testapplikations clientId og clientSecret, som ved en fejl er delt i et internt dokument. En person med adgang til dette dokument bruger nøglerne mod /api/mcp og opretter en administratorkonto i koncernens hovedorganisation, hvorefter vedkommende kan tilgå og ændre brugerdata i alle datterselskaber.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I kører Casdoor i version 4.4.0 eller tidligere, og har mere end en applikation eller organisation tilsluttet installationen. Kør I kun en enkelt organisation, er risikoen mindre, men opdatering bør stadig ske.
Hvordan tjekker vi, om vi er sårbare?
Se jeres Casdoor-version i administrationskonsollen eller i installationens versionsfil. Er versionen 4.4.0 eller ældre, er I sårbare. Tjek desuden, hvor mange applikationer og organisationer der er tilsluttet samme installation.
Kan vi vente til weekenden med at opdatere?
Det kan I, hvis I i mellemtiden begrænser netværksadgang til /api/mcp og har overvåget logs for uventede administrationshandlinger. Er Casdoor eksponeret direkte mod internettet uden begrænsning, bør opdateringen ske hurtigere.
Skal vi anmelde noget til myndighederne?
Finder I tegn på, at brugerdata som e-mailadresser eller password-salte er blevet udtrukket, kan det udgøre et brud på persondataforordningen, som skal anmeldes til Datatilsynet inden for 72 timer efter, at bruddet er konstateret.
Er det nok at ændre adgangskoder, uden at opdatere Casdoor?
Nej. Uden opdatering kan angriberen fortsat udnytte fejlen og gentage angrebet med nye eller andre applikationers nøgler. Opdatering af Casdoor er det, der faktisk lukker hullet.
Påvirker det kun applikationer, vi selv har lavet?
Nej. Fejlen ligger i Casdoor selv og påvirker alle organisationer i installationen, uanset om den kompromitterede applikations nøgler stammer fra jeres egen eller en tredjeparts integration.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Casdoor through 4.4.0 contains an authorization bypass vulnerability in the /api/mcp endpoint that allows attackers with any application’s clientId and clientSecret to gain unrestricted access to user administration across all organizations. Attackers can enumerate user records including password salts and email addresses, create administrator accounts, modify existing users, and delete them in any organization by supplying legitimate credentials from a single application.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.