CVE-2026-11613: Kritisk LFI-fejl i Divi Ajax Filter

CVE-2026-11613 er en sårbarhed i WordPress-pluginet Divi Ajax Filter, som gør det muligt at inkludere lokale filer på serveren, en teknik der kaldes lokal fil-inkludering (LFI). Fejlen ligger i parameteren ‘custom_loop_template’, som ikke tjekker, hvilken fil der hentes ind og køres. En angriber kan derfor få serveren til at læse og udføre vilkårlige PHP-filer, hvis de i forvejen ligger på systemet, eller er lagt der på anden vis, for eksempel via en filupload-funktion. Sårbarheden kræver, at parameteren ‘loop_templates’ er sat til ‘custom-template’, hvilket er en almindelig indstilling i mange opsætninger af pluginet.

Det rammer alle WordPress-websites, der bruger pluginet Divi Ajax Filter i version 5.1.2 eller ældre. Det gælder både virksomheders egne sider og sider, som er sat op af et webbureau eller en freelancer, hvor Divi Ajax Filter indgår som en del af temaet eller sidebygger-opsætningen. Sårbarheden er kun udnyttelig, når loop-skabelonen er sat til ‘custom-template’, hvilket bør tjekkes konkret på det enkelte site.

En angriber kan uden at logge ind få serveren til at udføre kode, som angriberen selv har lagt eller fået lagt på serveren, for eksempel via en anden svag uploadfunktion. I praksis kan det bruges til at omgå login og adgangskontrol, hente følsomme oplysninger som databaseoplysninger og kundedata, eller overtage kontrollen med hele webserveren. For en dansk virksomhed betyder det risiko for datalæk, defacement af hjemmesiden, eller at serveren bruges som afsæt for angreb mod andre systemer i netværket.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen handling fra en bruger, og kan udføres over internettet mod alle tre kerneværdier: fortrolighed, integritet og tilgængelighed rammes fuldt ud. Der er ikke oplyst konkrete tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, men da sårbarheden er nem at udnytte og kræver ingen adgang, må den forventes at blive forsøgt udnyttet bredt, så snart teknisk information er offentligt tilgængelig.

Følgende skridt lukker hullet og begrænser skaden, hvis det allerede er udnyttet.

1. Opdatér pluginet Divi Ajax Filter til den nyeste version med det samme. Er der ikke frigivet en rettet version endnu, deaktivér pluginet, indtil det er opdateret.
2. Tjek om pluginets indstilling ‘loop_templates’ er sat til ‘custom-template’ på jeres sites. Er den ikke det, er risikoen for udnyttelse lavere, men opdatér stadig.
3. Gennemgå serverens logfiler for usædvanlige kald med parameteren ‘custom_loop_template’, som kan indikere forsøg på udnyttelse.
4. Kontrollér, om der findes uploadfunktioner på siden, hvor filer med .php-endelse kan lægges. Fjern eller lås disse ned, da de øger risikoen betydeligt sammen med denne sårbarhed.
5. Tag en sikkerhedskopi af sitet, og gennemgå filsystemet for uventede eller nye .php-filer, hvis I har mistanke om, at sårbarheden allerede er udnyttet.
6. Kontakt en it-sikkerhedsrådgiver, hvis I finder tegn på indbrud, eller hvis I ikke selv har mulighed for at opdatere og gennemgå sitet inden for kort tid.