CVE-2026-9848: SQL-indsprøjtning i WP Ticket til WordPress
SQL-indsprøjtning i WordPress-pluginet WP Ticket (CVE-2026-9848) lader angribere uden login hente data fra databasen. Opdatér pluginet.
Hvad er det?
CVE-2026-9848 er en sårbarhed i WordPress-pluginet WP Ticket, som mange bruger til kundeservice og support-tickets på deres hjemmeside. Fejlen ligger i søgefunktionen på hjemmesiden, hvor pluginet indsætter det, brugeren søger efter, direkte ind i et databasekald uden at rense det først. Det kaldes SQL-indsprøjtning: en teknik, hvor en angriber skriver sin egen databasekommando ind i et almindeligt inputfelt, så databasen udfører angriberens kommando i stedet for kun at søge. Fejlen findes i versioner op til og med 6.0.4 af pluginet og kræver ikke, at angriberen er logget ind.
Hvem rammer det?
Sårbarheden rammer alle WordPress-hjemmesider, der bruger pluginet WP Ticket i version 6.0.4 eller ældre. Det gælder typisk virksomheder og kommuner, der har en supportfunktion eller kontaktformular baseret på WP Ticket, og hvor hjemmesidens søgefunktion er tilgængelig for besøgende uden login.
Hvad kan ske?
En angriber kan bruge søgefeltet til at trække data ud af hjemmesidens database, uden at have en brugerkonto. Det kan være personoplysninger fra tickets, kundehenvendelser, e-mailadresser eller i værste fald adgangskoder gemt som hash. For en dansk virksomhed betyder det risiko for læk af kundedata og dermed en mulig underretningspligtig sikkerhedsbrist efter databeskyttelsesreglerne.
Hvor alvorligt er det?
CVSS-score er 7,5 ud af 10, alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Sårbarheden påvirker kun fortrolighed, altså muligheden for at læse data, ikke muligheden for at ændre data eller lukke hjemmesiden ned. Der er ingen offentlige oplysninger om, at sårbarheden aktivt udnyttes endnu, men den er let at afprøve, fordi den ikke kræver login.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér WP Ticket til en version nyere end 6.0.4 via WordPress-administrationen.
- Kan pluginet ikke opdateres med det samme, så deaktivér søgefunktionen på hjemmesiden eller blokér adgangen til pluginet midlertidigt.
- Gennemgå webserverens logfiler for mistænkelige søgeforespørgsler med usædvanlige tegn som citationstegn eller SQL-nøgleord.
- Tjek om supportdata, kundeoplysninger eller adgangskodehash kan være blevet tilgået, og vurdér om det udløser underretningspligt efter databeskyttelsesreglerne.
- Skift adgangskoder for administratorer på hjemmesiden som ekstra sikkerhed.
- Er I i tvivl om, hvorvidt jeres opsætning er sårbar eller allerede er blevet udnyttet, så bør I søge hjælp fra en sikkerhedsrådgiver til at gennemgå logfiler og database.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer WP Ticket til nyeste version så hurtigt som muligt, da sårbarheden ikke kræver login og kan udnyttes automatisk af scanningsværktøjer. Det er kun rimeligt at vente, hvis pluginets søgefunktion allerede er deaktiveret eller ikke er tilgængelig fra internettet. Har I ikke selv overblik over, om jeres opsætning er ramt, hjælper vi med en hurtig gennemgang.
Tidslinje
Konkrete eksempler
Kundeservice-hjemmeside udstiller ticketdata
En dansk mellemstor virksomhed bruger WP Ticket til at håndtere kundehenvendelser på deres hjemmeside. En angriber finder søgefeltet på hjemmesiden og indsætter en manipuleret søgestreng, der får databasen til at udlevere e-mailadresser og ticketindhold fra andre kunder. Virksomheden opdager først problemet, da en kunde klager over at have modtaget svindel-mails baseret på oplysninger fra sin ticket.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version af WP Ticket?
Gå ind under Plugins i WordPress-administrationen og se, hvilken version af WP Ticket der er installeret. Er den 6.0.4 eller ældre, er hjemmesiden sårbar.
Kan vi vente til weekenden med at opdatere?
Det er ikke anbefalet. Sårbarheden kræver ikke login og kan afprøves automatisk af scanningsværktøjer, så jo længere I venter, jo længere er hjemmesiden eksponeret.
Skal vi anmelde dette som en sikkerhedsbrist?
Kun hvis I kan se, at sårbarheden har været udnyttet og persondata er blevet tilgået. Gennemgå logfiler for søgeforespørgsler med usædvanlige tegn, før I vurderer, om der skal ske anmeldelse til Datatilsynet.
Rammer sårbarheden også vores WordPress-installation, hvis WP Ticket ikke bruges aktivt?
Ja. Så længe pluginet er installeret og aktivt, er søgefunktionen tilgængelig, selv hvis I ikke selv bruger ticket-funktionen dagligt.
Er det nok at opdatere pluginet, eller skal vi gøre mere?
Opdatering lukker selve hullet. Vi anbefaler også at gennemgå logfiler for tegn på forudgående misbrug og overveje at skifte adgangskoder som ekstra sikkerhed.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The WP Ticket plugin for WordPress is vulnerable to SQL Injection via the WordPress search query parameter (`s`) in versions up to, and including, 6.0.4 The plugin hooks WordPress’s `posts_request` filter with `wp_ticket_com_posts_request()`, which calls `emd_author_search_results()` when the current request is an unauthenticated front-end search. That function reads `$query->query_vars[‘s’]` — already wp_unslash()’d by `WP_Query::parse_query()`, so wp_magic_quotes protection has been stripped — and concatenates the raw value into a SQL `LIKE` clause inside a UNION sub-SELECT appended to the main query, with no `$wpdb->prepare()` or escaping. This makes it possible for unauthenticated attackers to append additional SQL queries into already-existing queries that can be used to extract sensitive information from the database.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.