Plugin-navn	Sunshine Foto Cart
Type af sårbarhed	Brute force angreb
CVE-nummer	CVE-2026-42776
Hastighed	Medium
CVE-udgivelsesdato	2026-06-03
Kilde-URL	CVE-2026-42776

Brudt adgangskontrol i Sunshine Photo Cart (<= 3.6.7): Hvad du skal vide, hvordan angribere kan misbruge det, og hvordan du beskytter dine WordPress-sider

Oversigt: En brudt adgangskontrol sårbarhed (CVE-2026-42776), der påvirker Sunshine Photo Cart versioner 3.6.7 og tidligere, tillader lavprivilegerede brugere (Abonnent niveau) at udføre handlinger, de ikke burde kunne. Plugin-forfatteren udgav version 3.6.8 med en patch. Hvis du kører pluginet, opdater straks — og hvis du ikke kan opdatere med det samme, anvend virtuelle patches og hårdføring via WP-Firewall.

Denne artikel er skrevet fra perspektivet af WP-Firewalls WordPress sikkerhedseksperter. Vi vil forklare den tekniske årsag på almindeligt sprog, vise hvordan angribere kan udnytte det, give detektions- og afhjælpningstrin, give sikre kodningsretningslinjer for plugin-forfattere, og dele specifikke afbødninger, du kan anvende straks med en WordPress firewall.

---

TL;DR — Hvad du skal gøre lige nu

• Hvis din side kører Sunshine Photo Cart og plugin-versionen er 3.6.7 eller ældre, opdater straks til 3.6.8.
• Hvis du ikke kan opdatere med det samme, aktiver en firewallregel for at blokere de sårbare plugin-endepunkter (virtuel patching).
• Scann din side for indikatorer på kompromittering (nye admin-brugere, ændrede filer, ukendte planlagte opgaver).
• Hårdfør WordPress: håndhæve stærke adgangskoder, begrænse plugin-installationer til administratorer, aktivere filintegritetsmonitorering og daglige sikkerhedskopier.
• Overvej at aktivere WP-Firewall administrerede beskyttelser (WAF, malware scanner, virtuel patching), indtil du kan fuldt patch.

---

Sårbarheden på almindeligt engelsk

CVE-2026-42776 er klassificeret som “Brudt Adgangskontrol” og har en CVSS-lignende alvorlighedsvurdering, der placerer den på en medium prioritet. Brudt adgangskontrol betyder, at et endepunkt i pluginet mangler ordentlige autorisationskontroller — kort sagt, pluginet lader nogen med en lavprivilegeret konto udføre højere privilegerede funktioner (for eksempel: ændre ordrer, ændre fotos eller interagere med administrationsfunktioner, der burde være begrænset til butikschefer eller administratorer).

Patchdetaljer (offentliggørelse) indikerer, at pluginet tillod abonnent-niveau brugere at nå funktionalitet, der var beregnet til højere privilegieniveauer, fordi:

• Manglende kapabilitetskontroller (f.eks. current_user_can() blev ikke kaldt), og/eller
• Manglende eller omgåelige nonce-kontroller (bruges til at validere hensigt/autenticitet), og/eller
• AJAX eller admin-post endepunkter verificerede ikke den faktiske bruger kontekst.

Fordi abonnent-niveau konti er en almindelig standard på WordPress-sider (f.eks. blogs der tillader kommentarer eller medlemskabsregistreringer), er sårbarheden betydelig: en side, der tillader registreringer eller har lavprivilegerede brugere, kan blive angrebet uden at modstanderen ejer en admin-konto.

---

Hvorfor dette betyder noget for din virksomhed

• Automatiserede botnets og angribere scanner efter kendte sårbare plugin-endepunkter og forsøger masseudnyttelse. Et brudt adgangskontrolproblem er et attraktivt mål, fordi det ofte kun kræver en lavprivilegeret konto eller slet ingen konto (afhængigt af konfiguration).
• Når angribere kan udføre privilegerede handlinger, kan de eskalere yderligere: oprette eller promovere brugere, injicere ondsindet PHP i uploads eller plugin-filer, manipulere produkt- eller ordredata (hvis det er en e-handels side), eller plante bagdøre til fremtidig genindtræden.
• Selvom sårbarheden alene ikke giver fuld admin kontrol, kombineres den ofte med andre svagheder (svage adgangskoder, forældede temaer, åbne porte) for fuldstændigt at kompromittere et site.

---

Hvordan angribere typisk udnytter brudte adgangskontrol sårbarheder

Der er flere almindelige udnyttelsesmønstre for denne klasse af sårbarhed:

1. Direkte POST/GET til plugin-endepunkter
   Angribere bygger HTTP-anmodninger til pluginens AJAX/admin-post endepunkter og leverer parametre designet til at udløse privilegerede handlinger. Hvis endepunktet mangler kapabilitet/nonce tjek, udføres handlingen.
2. Misbrug af autentificerede lavprivilegerede konti
   Hvis dit site tillader brugerregistrering eller har kommentatorer/medlemmer, opretter angribere konti (eller kompromitterer eksisterende lavprivilegerede konti), og kalder derefter det sårbare endepunkt for at udføre begrænsede opgaver.
3. CSRF (Cross-Site Request Forgery) stil misbrug
   Hvis pluginet bruger handlinger uden nonce validering, kan en angriber narre en autentificeret bruger til at besøge en ondsindet side, der udløser den privilegerede handling (f.eks. via et billedtag eller en skjult formular).
4. Automatiseret masse scanning
   Scannere og botnets undersøger et stort antal sites for at finde kendte plugin-identifikatorer og sårbare anmodningsmønstre. Når de er fundet, automatiseres udnyttelsen og udføres i stor skala.

På grund af disse mønstre stopper en virtuel patch (blokering af de sårbare anmodningsmønstre ved WAF) masseudnyttelse, selv før du kan opdatere pluginet.

---

Sådan tjekker du, om dit website er sårbart

1. Bekræft den installerede plugin-version:
   • WordPress dashboard > Plugins > Installerede Plugins → tjek “Sunshine Photo Cart”.
   • Eller via WP‑CLI:
     wp plugin get sunshine-photo-cart --field=version
   • Enhver version ≤ 3.6.7 er sårbar. 3.6.8 indeholder patchen.
2. Tjek om registrering eller lavprivilegerede konti eksisterer:
   • WordPress dashboard > Brugere → se om abonnent- eller lavere niveau konti er til stede.
   • Hvis dit site tillader offentlig registrering, antag højere risiko.
3. Gennemgå serveradgangslogs for mistænkelige anmodninger til plugin-endepunkter:
   • Almindelige signaturer: anmodninger til admin-ajax.php eller admin-post.php med plugin-specifikke handlinger eller parametre; POSTs fra usædvanlige brugeragenter; gentagne hits fra den samme IP til plugin-sider.
   • Eksempel (Linux):
     grep -E "admin-ajax.php|sunshine-photo-cart|sunshine_cart" /var/log/nginx/access.log | tail -n 200
4. Udfør en komplet sitescanning med din malware-scanner / WAF for at lede efter:
   • Uventede filændringer i plugin-mappen.
   • Nye admin-brugere.
   • Ændrede tidsstempler på plugin-filer.

---

Indikatorer for kompromittering (IoCs) — hvad man skal se efter nu

Hvis du mistænker udnyttelse, søg efter:

• Nye eller ændrede administratorbrugere:
  VÆLG ID, user_login, user_email, user_registered FRA wp_users BESTIL EFTER user_registered DESC BEGRÆNS 50;
• Uventede PHP-filer i uploads eller plugin-mapper:
  find wp-content/uploads -type f -mtime -30 -name "*.php"
find wp-content/plugins -type f -mtime -30 -name "*.php" -not -path "*/sunshine-photo-cart/*"
• Planlagte opgaver (wp_cron), som du ikke har oprettet:
  wp cron begivenhedsliste
• Mistænkelige anmodninger i webserverlogfiler, der retter sig mod plugin-specifikke parametre eller handlinger (se efter POST til admin-ajax.php med parametre som action=…).
• Udenlandske netværksforbindelser fra serveren (ukendte IP-adresser eller domæner) — angribere bagdør ofte sites og kontakter eksterne kontrolservere.

Hvis du finder nogen af ovenstående, behandl det som en aktiv hændelse og følg tjeklisten for hændelsesrespons nedenfor.

---

Øjeblikkelige afhjælpningsskridt

1. Opdater plugin til 3.6.8 (eller senere) — leverandøren har givet en patch.
   • Opdater fra WP Admin eller WP‑CLI:
     wp plugin update sunshine-photo-cart
2. Hvis du ikke kan opdatere med det samme, anvend virtuel patching ved hjælp af din WAF:
   • Bloker anmodninger til plugin-endepunkter, der accepterer action-parametre eller admin-operationer. Se afsnittet “Virtuel patching” nedenfor for præcise regel-eksempler.
3. Styrk autentificeringen:
   • Rotér admin-adgangskoder, håndhæve stærk adgangskodepolitik og rotere eventuelle API-nøgler relateret til sitet.
   • Tving alle brugere til at logge ud (udløbne sessioner) efter afhjælpning, mens du undersøger.
4. Scan og rengør:
   • Kør en fuld malware-scanning og filintegritetskontrol. Fjern eventuelle uautoriserede filer.
   • Hvis du finder beviser for kompromittering, gendan fra en ren sikkerhedskopi og genanvend plugin-opdateringen efter hårdføring.
5. Revider brugere og tilladelser:
   • Nedgrader eller fjern ubrugte konti og tilbagekald unødvendige administratorrettigheder.
   • Gennemgå brugerroller, der kan oprette indhold eller udløse plugin-handlinger.
6. Aktivér logning og overvågning:
   • Hold detaljerede adgangslogs, aktiver applikationsniveau-logning, og brug filintegritetsmonitorering til at opdage fremtidig manipulation.

---

Virtuel patching: WAF-regler og eksempler, du kan anvende lige nu

En WAF (webapplikationsfirewall) kan stoppe udnyttelsesforsøg ved at identificere og blokere de anmodningsmønstre, der ville udløse den sårbare funktionalitet. Nedenfor er eksempelregler; juster til dit miljø og test før anvendelse i produktion.

Bemærk: koden nedenfor er illustrative regel skabeloner — tilpas til din WAF-syntaks (ModSecurity, Nginx + Lua, cloud-baseret WAF eller WP-Firewall regelmotor).

1) Bloker åbenlyse udnyttelsesanmodninger til admin-ajax.php eller admin-post.php, der målretter pluginet

# Bloker anmodninger til admin-ajax.php eller admin-post.php, der inkluderer plugin-specifikke handlingsnavne eller parametre"

Nginx (Lua eller kortbaseret) pseudo-regel:
Bloker POSTs til /wp-admin/admin-ajax.php, der indeholder handlingsparametre, der matcher plugin-mønstre.

2) Bloker anmodninger, hvor en privilegeret handling kaldes uden gyldig nonce eller hvor Referer mangler

# Nægt POSTs til plugin-endepunkter, der ikke har _wpnonce parameter eller ugyldig referer-header"

3) Rate-limite eller blokér masse-scanningsadfærd

• Bloker midlertidigt IP-adresser, der overskrider en tærskel for anmodninger til admin-ajax.php med plugin-lignende parametre.
• Eksempel: mere end 20 anmodninger til admin-ajax.php på 60 sekunder → midlertidig blokering.

4) Bloker nyoprettede lavprivilegerede konti, der udfører admin-operationer

• Nægt anmodninger, der forsøger admin-niveau operationer fra IP-adresser, der for nylig har oprettet konti, eller tilføj en regel for kun at kræve administratorer til disse handlinger.

WP‑Firewall (administreret regel) forslag: anvend en virtuel patch, der matcher anmodnings-URIs og argumentnavne, der bruges af Sunshine Photo Cart-endepunkter, plus håndhæve nonce/kapabilitets tilstedeværelseskontroller. Dette giver øjeblikkelig afbødning, indtil du opdaterer pluginet.

---

Hvordan plugin-udviklere skal løse roden til problemet (sikker kodningsvejledning)

Hvis du vedligeholder eller udvikler WordPress-plugins, er dette en klassisk faldgrube: at undlade at validere kapabilitet og nonce. Det korrekte mønster for enhver handling, der ændrer tilstand, er:

1. Bekræft, at brugeren er autentificeret og har den nødvendige kapabilitet:
   • Brug current_user_can( ‘appropriate_capability’ ) — f.eks. ‘manage_options’, ‘edit_posts’ eller en brugerdefineret kapabilitet registreret af plugin.
2. Bekræft nonce for at beskytte mod CSRF:
   • Tjek med check_admin_referer() for admin-formularer (eller wp_verify_nonce() for REST/AJAX).
3. Rens og valider alle inputparametre.
4. Returner tidligt ved fejl med en WP_Error eller die() med korrekt HTTP-status.

Nedenfor er et sikkert server-side mønster for en AJAX-handler:

add_action( 'wp_ajax_spc_update_item', 'spc_update_item_handler' ); // for indloggede brugere

Vigtige bemærkninger:

• Stol ikke på klient-side kontroller (de er trivielle at omgå).
• Udsæt ikke admin-only handlinger via offentlige slutpunkter, medmindre du eksplicit kræver en admin kapabilitet og håndhæver en nonce.

---

Post-kompromis respons tjekliste (hvis du finder bevis for udnyttelse)

Hvis du finder tegn på kompromis, så vær forsigtig og metodisk:

1. Isoler:
   • Tag midlertidigt siden offline eller omdiriger til en statisk vedligeholdelsesside for at forhindre yderligere skade.
2. Bevar beviserne:
   • Gem nuværende logs (adgang, fejl, database) til retsmedicinsk analyse.
3. Roter legitimationsoplysninger:
   • Nulstil straks alle admin-adgangskoder og eventuelle gemte API-nøgler eller tokens.
4. Scan og fjern:
   • Brug en betroet malware-scanner til at fjerne ondsindede filer, eller gendan fra en kendt god backup.
5. Genopbyg om nødvendigt:
   • Hvis kompromiset er dybt (root shells, ukendte dæmoner), genopbyg serveren fra et rent billede.
6. Undersøg indgangspunktet:
   • Bestem vektoren (plugin-sårbarheden, stjålne legitimationsoplysninger, tema-sårbarheden).
7. Anvend rettelserne igen:
   • Opdater Sunshine Photo Cart til 3.6.8+, geninstaller ren plugin-kode, håndhæve filrettigheder og gen-scann.
8. Overvåge:
   • Fortsæt med at overvåge logfiler for tilbagevendende indikatorer.
9. Rapport:
   • Hvis kundedata blev eksponeret, følg juridiske og regulatoriske oplysningskrav.

---

Hærdning af din WordPress-side for at reducere blast-radius for plugin-sårbarheder

Følg disse praktiske forsvar:

• Princippet om mindste privilegium: Giv kun brugere de rettigheder, de har brug for. Hvis en bruger kun har brug for at læse indhold, så gør dem ikke til redaktør eller højere.
• Deaktiver konto-registrering, hvis du ikke har brug for det (Indstillinger → Generelt → Medlemskab).
• Oprethold stærk autentificering:
  • Håndhæve stærke adgangskoder, overvej to-faktor autentifikation for admin-brugere.
• Brug filintegritetsmonitorering:
  • Giv besked, når plugin- eller kerne-filer ændres.
• Hold regelmæssige sikkerhedskopier:
  • Oprethold en testet sikkerhedskopieringsproces; hold mindst én ren kopi offsite.
• Begræns plugin-installationer til betroede administratorer:
  • Reducer antallet af administratorer, der kan installere eller aktivere plugins.
• Hærd filrettigheder og PHP-udførelse i uploads:
  • Forhindre PHP-udførelse i wp-content/uploads og begrænse skrivbare mapper til kun det, der er nødvendigt.
• Overvåg logs og alarmer:
  • Brug et loggings- og alarmeringsværktøj til at opdage spidser i trafik eller mærkelig brugeraktivitet.
• WAF + Virtuel Patching:
  • Brug WAF-regler til at mindske kendte sårbarheder, indtil kodeopdateringer er anvendt.

---

Hvordan WP-Firewall hjælper (praktiske beskyttelser vi tilbyder)

Som en administreret WordPress-firewalludbyder leverer WP‑Firewall følgende beskyttelseslag for at reducere risikoen fra sårbarheder som CVE‑2026‑42776:

• Administrerede WAF-regler og virtuel patching: vi kan automatisk skubbe regler, der blokerer udnyttelsesmønstre for kendte sårbarheder (herunder forsøg på udnyttelse af manglende kapabilitet/nonce), så din side er beskyttet, selv før du kan opdatere et plugin.
• Malware-scanning og fjernelse: kontinuerlig scanning af filer og automatiserede oprydningsmuligheder reducerer opholdstiden, hvis en udnyttelse lykkes.
• Ratebegrænsning og bot-forsvar: forhindrer masse-scanning og automatiserede udnyttelseskampagner i at ramme din side i stor skala.
• Filintegritetsmonitorering og ændringsalarmer: vi opdager mistænkelige filændringer hurtigt og viser dem på dit dashboard.
• Vejledning til hændelsesrespons: trin-for-trin reparation råd skræddersyet til WordPress-hændelser (hvad der skal kontrolleres i logs, hvordan man udfører sikre opdateringer og gendannelser).
• Sikkerhedsrapporter (Pro-plan): månedlige opsummeringer af opdagede trusler, blokerede angreb og anbefalede handlinger.

Hvis du kører Sunshine Photo Cart på flere sider eller administrerer kundesider, er kombinationen af WAF-virtuel patching og filmonitorering en effektiv øjeblikkelig afbødning, mens du ruller opdateringer ud.

---

Anbefalede detektionssignaturer (til avancerede brugere)

Nedenfor er eksempler på detektionssignaturer for at hjælpe dig med at jage efter udnyttelsesforsøg i serverlogs. Tilpas til dit miljø.

1. Kig efter POSTs til admin-ajax.php, der inkluderer plugin-lignende parametre:
   grep -Ei "admin-ajax\.php.*(sunshine|spc|spcaction|sphoto|photo_cart)" /var/log/nginx/access.log
2. Anmodninger med mistænkelige brugeragenter kombineret med plugin-parametre:
   awk '$0 ~ /admin-ajax\.php/ && $0 ~ /(sunshine|spc|photo_cart)/ && $0 ~ /curl|python|nikto|masscan|sqlmap/ { print $0 }' /var/log/nginx/access.log
3. Nyindførte PHP-filer i plugin- eller uploads-mappen i de sidste 30 dage:
   find wp-content/uploads -type f -name '*.php' -mtime -30 -print
find wp-content/plugins -path "*/sunshine-photo-cart/*" -prune -o -type f -mtime -30 -name '*.php' -print

---

Sikker konfigurationscheckliste for webstedsejere

• Opdater Sunshine Photo Cart til version 3.6.8 eller senere straks.
• Hvis du har offentlig registrering, vurder om du skal tillade det. Hvis du gør, kræv e-mailverifikation og håndhævelse af stærke adgangskoder.
• Deaktiver plugins og temaer, du ikke bruger.
• Planlæg regelmæssige sårbarhedsscanninger.
• Gennemgå og stram brugerroller og -muligheder.
• Konfigurer firewallregler for at blokere mistænkelige plugin-anmodninger, indtil du opdaterer.
• Tag backup dagligt og test gendannelser mindst månedligt.

---

Ofte stillede spørgsmål (FAQ)

Spørgsmål: Er min side bestemt kompromitteret, hvis den kører et berørt plugin?
EN: Ikke nødvendigvis. Tilstedeværelsen af sårbarheder svarer ikke til kompromittering. Dog er sider med offentlig registrering eller mange lavprivilegerede konti i højere risiko. Du bør opdatere og scanne straks.

Spørgsmål: Hvad hvis min host håndterer plugin-opdateringer?
EN: Kontakt din host og anmod om en nødopdatering til Sunshine Photo Cart. Hvis din host ikke kan opdatere straks, bed dem om at anvende WAF-niveau regler for at afbøde problemet.

Spørgsmål: Kan jeg anvende en plugin-patch manuelt?
EN: Ja. Download den patched plugin-udgivelse fra leverandøren, eller opdater via WP Admin eller WP‑CLI:
wp plugin update sunshine-photo-cart

Spørgsmål: Er det en sikker midlertidig mulighed at slette plugin'et?
EN: Sletning af plugin'et fjerner den sårbare kode, men det kan forstyrre funktionaliteten. Hvis du ikke er afhængig af plugin'ets funktioner, er det en sikker hurtig afbødning at fjerne det.

---

Udviklernoter: testdækning og implementeringscheckliste

• Tilføj enheds-/integrations tests for autorisationskontroller på admin- og AJAX-endepunkter.
• Sørg for, at hvert tilstandsændrende endepunkt kræver:
  • En passende kapabilitet,
  • En gyldig nonce,
  • Inputvalidering og sanitering.
• Gennemgå koden for at undgå at tilføje admin-funktioner, der er tilgængelige fra offentlige endepunkter.
• Tilføj CI-trin til at scanne efter hooks, der udsætter følsomme handlinger for ikke-privilegerede kontekster (f.eks. hooking ind i wp_ajax_nopriv_ uden strenge kontroller).

---

Eksempel: almindelige fejl at undgå

• Udsættelse af admin-handlinger gennem en admin-post.php eller admin-ajax.php handler uden kontrol nuværende_bruger_kan() eller check_admin_referer().
• At stole udelukkende på klient-side JS for at begrænse UI.
• Registrering af kapabiliteter forkert eller brug af alt for brede kapabiliteter som rediger_indlæg for følsomme operationer.

---

Hvis du har brug for hjælp: administreret beskyttelse og support

Vi forstår presset ved at håndtere presserende sårbarheder på tværs af mange websteder. WP‑Firewall tilbyder administreret virtuel patching, malware-rensning og sikkerhedshærdning, så du kan få øjeblikkelig beskyttelse uden at røre ved hvert websted manuelt. Vores team kan også hjælpe med hændelsesrespons, hvis du finder beviser for kompromittering.

---

Begynd at beskytte dit websted nu — Prøv WP‑Firewall Basic (Gratis) plan

Titel: Begynd at beskytte dit websted på få minutter med WP‑Firewall Basic

Vi har bygget Basic-planen til webstedsejere, der hurtigt har brug for essentiel beskyttelse. Den inkluderer en administreret firewall, ubegribelig båndbredde til regelbehandling, en hærdet WAF, en malware-scanner og afbødninger for OWASP Top 10-risici — alt sammen gratis. Hvis du ønsker automatisk malwarefjernelse, IP-blacklisting/hvidlisting, månedlige sikkerhedsrapporter og automatisk virtuel patching, overvej at opgradere til Standard eller Pro. Kom i gang nu og sæt kritiske beskyttelser på plads, mens du opdaterer plugins som Sunshine Photo Cart: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

---

Endelige anbefalinger — praktisk tidslinje

• Inden for 1 time: Tjek plugin-versionen og opdater til 3.6.8, hvis muligt. Hvis du ikke kan opdatere med det samme, skal du aktivere WP‑Firewall-beskyttelse eller en anden WAF og anvende virtuelle patch-regler.
• Inden for 24 timer: Udfør en fuld webstedsscanning for IOCs, gennemgå logs og rotere følsomme legitimationsoplysninger.
• Inden for 48–72 timer: Hærd bruger-konti, håndhæve stærke adgangskoder og gennemgå webstedets tilladelsespolitikker.
• Igangværende: Brug en kombination af WAF, filintegritetsmonitorering, backup-strategi og mindst privilegeret administration for at reducere chancerne for, at fremtidige plugin-fejl resulterer i en kompromittering.

---

Afsluttende bemærkninger fra WP‑Firewall sikkerhedsteam

Brudt adgangskontrol er en af de mest handlingsbare sårbarheder, en angriber kan målrette mod i stor skala — især på websteder, der tillader lavprivilegerede konti eller brugerregistrering. Sårbarheden Sunshine Photo Cart CVE‑2026‑42776 demonstrerer, hvorfor autorisationskontroller og nonces ikke er valgfrie. Opdater dit plugin, aktiver øjeblikkelig virtuel patching, og hærd din WordPress-instans. Hvis du har brug for administreret assistance, er vores team og WP‑Firewall-beskyttelser designet til at give dig tid, blokere masseudnyttelse og guide din genopretning.

Hvis du ønsker praktisk hjælp til at anvende virtuelle patches eller køre en retsmedicinsk kontrol, skal du kontakte WP‑Firewall-support gennem dit dashboard eller tilmelde dig Basic-planen på https://my.wp-firewall.com/buy/wp-firewall-free-plan/ og aktivere vores administrerede beskyttelser i dag.

---

Referencer og yderligere læsning

• CVE‑2026‑42776 (Sunshine Photo Cart) — tjek din plugin-version og leverandørens udgivelsesnoter.
• WordPress.org udviklerhåndbog — Autorisation og Nonces
• OWASP Top 10 — Vejledning om adgangskontrol