CVE-2026-9701: Usikker kodeordsnulstilling i Eventer-plugin
Eventer-pluginet til WordPress gemmer nulstillingskoder for kodeord i klartekst, så angribere kan overtage brugerkonti. Afinstallér eller opdatér, når rettelse findes.
Hvad er det?
Eventer er et plugin til WordPress, der bruges til at oprette og administrere begivenheder på hjemmesider. Sårbarheden CVE-2026-9701 opstår i pluginets funktion til nulstilling af kodeord: når en bruger anmoder om nulstilling, gemmer pluginet koden i klartekst i feltet eventer_verification_code i databasetabellen wp_usermeta. Klartekstkoden kan bruges direkte sammen med pluginets nulstillingsfunktion til at sætte en ny adgangskode for enhver bruger, uden at kende den oprindelige adgangskode. Kombineret med en anden sårbarhed, SQL-injektion (CVE-2026-9700, hvor en angriber kan indsætte skadelig databasekode via inputfelter), kan en uautentificeret angriber uden loginoplysninger hente koden fra databasen og overtage konti, herunder administratorkonti. Funktionen fungerer kun på servere med PHP version 7.4 eller ældre.
Hvem rammer det?
Alle danske virksomheder, foreninger og kommuner, der bruger WordPress med Eventer-pluginet i version 4.4.2 eller ældre, er ramt. Det gælder typisk hjemmesider med billetsalg, tilmelding til arrangementer eller kalenderfunktioner, hvor pluginet er installeret. Risikoen er størst på servere, der stadig kører PHP 7.4 eller ældre, da funktionen kun virker der.
Hvad kan ske?
En angriber kan overtage administratorkontoen på hjemmesiden og dermed få fuld kontrol over WordPress-installationen. Det åbner for at ændre indhold, installere skadelig kode, stjæle kunde- og medlemsdata eller bruge hjemmesiden som platform til yderligere angreb. For en dansk virksomhed med webshop eller medlemsdatabase kan det betyde brud på persondata, der skal anmeldes til Datatilsynet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, det kan udføres over internettet af en angriber uden adgang til systemet i forvejen. Sårbarheden i sig selv kræver, at angriberen først skaffer nulstillingskoden, men kombineret med den samtidige SQL-injektionssårbarhed CVE-2026-9700 kan hele forløbet automatiseres uden login. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men risikoen for automatiserede angreb er høj, fordi begge sårbarheder findes i samme plugin.
Hvad gør jeg nu?
Følgende punkter lukker hullet og reducerer risikoen, mens I venter på en officiel rettelse.
- Deaktivér eller afinstallér Eventer-pluginet, indtil producenten udgiver en opdateret version. Er pluginet nødvendigt for driften, kontakt jeres udvikler for en midlertidig løsning.
- Undersøg wp_usermeta-tabellen for uventede værdier i feltet eventer_verification_code og se efter ukendte administratorkonti eller nyligt ændrede adgangskoder.
- Skift adgangskode for alle administratorer og redaktører på siden, og aktivér to-faktor-login, hvis det er muligt.
- Opgradér serverens PHP-version til over 7.4, da det lukker den specifikke fejlfunktion, selv hvis pluginet ikke fjernes med det samme.
- Gennemgå loginlogs for mistænkelig aktivitet, herunder nulstillingsanmodninger uden kendt afsender.
- Har I ikke selv ressourcer til at gennemgå database og logs, eller er I i tvivl om, om siden allerede er kompromitteret, bør I hente ekstern hjælp til en sikkerhedsgennemgang.
Afinstallér plugin, ingen rettelse kendt endnu
Vi anbefaler, at I deaktiverer Eventer-pluginet, indtil der findes en opdateret version, da der ikke er en officiel rettelse på offentliggørelsesdatoen. Det er kun forsvarligt at vente, hvis pluginet allerede er deaktiveret eller jeres server kører PHP over version 7.4, hvor funktionen ikke virker. Er pluginet aktivt i drift på en ældre PHP-version, bør I handle inden næste arbejdsdag og samtidig undersøge, om kontoovertagelse allerede har fundet sted.
Tidslinje
Konkrete eksempler
Overtagelse af foreningens medlemsside
En dansk forening bruger Eventer til at administrere tilmeldinger til events på sin WordPress-side. En angriber udnytter kombinationen af SQL-injektionssårbarheden og den usikre nulstillingsmekanisme til at hente en administrators nulstillingskode fra databasen og sætter en ny adgangskode. Angriberen får dermed fuld adgang til siden, ændrer indhold og får adgang til medlemmernes kontaktoplysninger og betalingsdata.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-side har Eventer-pluginet installeret i version 4.4.2 eller ældre. I kan se pluginets version under Plugins i WordPress-administrationen.
Hvordan tjekker vi, om vi allerede er blevet angrebet?
Gennemgå databasetabellen wp_usermeta for feltet eventer_verification_code og se, om der findes uventede værdier. Kig også efter administratorkonti, I ikke selv har oprettet, og nyligt ændrede adgangskoder.
Kan vi vente til weekenden med at handle?
Det afhænger af, om pluginet er aktivt og jeres server bruger PHP 7.4 eller ældre. Er det tilfældet, bør I deaktivere pluginet nu, da angrebet kan udføres uden login og uden brugerinteraktion.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at en konto er overtaget eller data er tilgået uretmæssigt, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne. Vi anbefaler at dokumentere fund og kontakte jeres databeskyttelsesrådgiver eller os for en vurdering.
Er der en opdatering, vi kan installere?
På offentliggørelsesdatoen findes der ikke en officiel rettelse fra producenten. Den sikreste løsning lige nu er at deaktivere eller afinstallere pluginet, indtil en rettet version udgives.
Påvirker det kun administratorer?
Nej, fejlen gør det muligt at nulstille adgangskoden for enhver bruger, herunder almindelige medlemmer og redaktører, men konsekvensen er størst, hvis en administratorkonto overtages.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Eventer plugin for WordPress is vulnerable to an insecure password reset mechanism in all versions up to, and including, 4.4.2. The plugin stores a plaintext copy of the password reset key in the `eventer_verification_code` user meta field when a user requests a password reset. The plaintext key stored in `wp_usermeta` can be used with the plugin’s custom reset action to set a new password for any user. Combined with another vulnerability such as SQL Injection (CVE-2026-9700), this makes it possible for unauthenticated attackers to extract the plaintext reset key and take over any user account, including administrators. Note: The password reset function only works up to PHP version 7.4.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.