CVE-2026-92716: Kritisk fejl i Shuffle tillader kontoovertag

CVE-2026-92716 er en adgangskontrolfejl i automatiseringsplatformen Shuffle. Fejlen sidder i et endepunkt kaldet HandleApiGeneration, som håndterer oprettelse af API-nøgler. En bruger med administratorrettigheder i én organisation kan sende vilkårlige bruger-id’er til dette endepunkt og dermed nulstille og læse API-nøgler for brugere i helt andre organisationer. Det er en såkaldt cross-tenant fejl, hvilket betyder, at adskillelsen mellem lejere i en fælles installation er brudt. Fejlen er til stede i alle versioner af Shuffle op til og med 2.2.1.

Fejlen rammer virksomheder og kommuner, der anvender Shuffle som selvhostet eller delt automatiseringsplatform i versioner op til og med 2.2.1. Særligt udsatte er installationer, hvor flere organisationer eller afdelinger deler samme Shuffle-instans, altså en multi-tenant opsætning. Har I Shuffle kørende som single-tenant med kun én organisation, er risikoen for tværorganisatorisk misbrug begrænset, men opdatering anbefales stadig.

En angriber med administratoradgang i én organisation kan skaffe sig gyldige API-nøgler tilhørende brugere i andre organisationer. Med en gyldig API-nøgle kan angriberen handle på vegne af den pågældende bruger og dermed læse og ændre data, udløse automatiseringer samt eksfiltrere følsomme oplysninger, som den ramte organisations Shuffle-integrationer har adgang til. I praksis kan det betyde, at fortrolige forretningsdata, personoplysninger eller systemadgange i en naboorganisation kompromitteres uden kendskab hos den pågældende organisation.

CVSS-scoren er 9,6, som er kritisk. Angrebet kræver netværksadgang og et administratorlogin i en hvilken som helst organisation på instansen, men kræver ingen særlig teknisk kompleksitet og ingen handling fra offeret. Fordi fejlen bryder adskillelsen mellem organisationer, er konsekvenserne for fortrolighed og dataintegritet høje. Der er på nuværende tidspunkt ikke offentliggjort dokumentation for aktiv udnyttelse, men fejlens lave kompleksitet gør den let at reproducere for en angriber med de nødvendige adgange.

Udfør følgende handlinger i prioriteret rækkefølge:

1. Opdatér Shuffle til en version nyere end 2.2.1, så snart en opdateret udgave er tilgængelig fra leverandøren. Følg Shuffles officielle udgivelseskanal for at bekræfte, at fejlen er rettet.
2. Kontrollér i mellemtiden, hvem der har administratorrettigheder i jeres Shuffle-installation, og begræns adgangen til betroede brugere.
3. Gennemgå logfiler for HandleApiGeneration-endepunktet for at se, om der er foretaget usædvanlige kald med bruger-id’er, der ikke tilhører jeres organisation.
4. Nulstil API-nøgler for alle brugere i jeres organisation som en forsigtighedsforanstaltning, særligt hvis I ikke kan udelukke, at endepunktet er blevet misbrugt.
5. Er jeres installation eksponeret mod internettet og deles med andre organisationer, bør I overveje midlertidigt at begrænse adgangen til Shuffle, indtil opdateringen er installeret.
6. Kontakt en ekstern sikkerhedskonsulent, hvis I ikke selv kan gennemgå logfiler og bekræfte, at ingen uautoriseret adgang har fundet sted.