CVE-2026-11912: Fejl i WordPress-plugin Simple File List
CVE-2026-11912 lader uautoriserede angribere slette og ændre filer via WordPress-plugin’et Simple File List. Opdatér plugin nu.
Hvad er det?
CVE-2026-11912 er en sårbarhed i WordPress-plugin’et Simple File List, der lader filer på serveren blive ændret eller slettet uden korrekt godkendelse. Fejltypen er CWE-862, som betyder mangelfuld autorisation, det vil sige at plugin’et ikke kontrollerer, om den, der forsøger at ændre filer, faktisk har ret til det. Sårbarheden virker selv når indstillingen AllowFrontManage er slået fra, fordi en fejl i koden springer den beskyttelse over, før indstillingen bliver tjekket.
Hvem rammer det?
Det rammer alle WordPress-websites, der bruger pluginet Simple File List i version 6.3.7 eller tidligere. Pluginet bruges typisk til, at besøgende kan uploade eller downloade filer via en formular på hjemmesiden, for eksempel til jobansøgninger, dokumentdeling eller kundeportaler. Danske virksomheder og kommuner, der har outsourcet driften af deres hjemmeside eller kører en ældre version af pluginet uden automatiske opdateringer, er særligt udsatte.
Hvad kan ske?
En angriber kan uden at logge ind slette eller ændre filer på serveren, hvor hjemmesiden ligger. I praksis kan det betyde, at vigtige filer på webserveren forsvinder, at hjemmesiden holder op med at virke, eller at angriberen lægger skadelige filer ind, som senere kan bruges til at overtage siden helt. For en dansk virksomhed betyder det driftstab og risiko for, at kundedata eller uploadede dokumenter går tabt.
Hvor alvorligt er det?
CVSS-scoren er 7,5 ud af 10, hvilket er alvorligt. Sårbarheden kræver ikke login og ingen handling fra en bruger, og den kan udnyttes direkte over internettet med lav teknisk kompleksitet. Konsekvensen er høj påvirkning af integritet, det vil sige at data og filer kan ændres eller slettes, men sårbarheden giver ikke angriberen adgang til at læse fortrolige data eller lukke systemet ned. Der er pr. offentliggørelsesdatoen ikke rapporteret om aktiv udnyttelse, men fordi angrebet er enkelt at automatisere, bør det behandles som en reel risiko.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis I allerede er ramt.
- Opdatér Simple File List til en version nyere end 6.3.7, hvor sårbarheden er rettet.
- Kan opdateringen ikke ske med det samme, så deaktivér pluginet, indtil det er opdateret.
- Gennemgå filer på serveren for uventede ændringer eller nye filer, I ikke selv har lagt op.
- Tjek webserverens log for mistænkelig trafik mod pluginets upload- og filfunktioner.
- Skift adgangskoder og eventuelle API-nøgler, hvis der er tegn på, at serveren har været kompromitteret.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan bekræfte, at systemet er rent, eller hvis I finder tegn på indbrud.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer Simple File List med det samme, da sårbarheden er nem at udnytte og ikke kræver login. Det er kun i orden at vente, hvis pluginet allerede er deaktiveret, eller hvis jeres hjemmeside ikke bruger det. Er I i tvivl om, hvilken version I kører, bør I tjekke det i dag og ikke afvente en planlagt opdatering.
Tidslinje
Konkrete eksempler
Mistet dokumentation i forsikringssag
En dansk håndværksvirksomhed bruger Simple File List til, at kunder kan uploade billeder af skader til forsikringssager via hjemmesiden. En angriber finder uploadfunktionen og sletter alle tidligere indsendte filer, så virksomheden mister dokumentation i en igangværende sag.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Simple File List?
Log ind i WordPress-administrationen, gå til Plugins, og se om Simple File List er installeret, og hvilken version der kører.
Er vi ramt, hvis vi har slået AllowFrontManage fra?
Ja. Sårbarheden virker uanset denne indstilling, fordi fejlen i koden springer beskyttelsen over, uafhængigt af indstillingen.
Kan vi vente til weekenden med at opdatere?
Vi anbefaler ikke at vente. Sårbarheden kan udnyttes uden login og uden brugerinteraktion, så er pluginet aktivt på en offentligt tilgængelig side, bør opdateringen ske samme dag.
Skal vi anmelde det, hvis vi bliver ramt?
Hvis angrebet fører til brud på persondata, for eksempel hvis uploadede dokumenter med personoplysninger slettes eller ændres, skal I vurdere anmeldelse til Datatilsynet inden for 72 timer.
Hvordan ved vi, om vi allerede er blevet udnyttet?
Tjek om filer i upload-mapper er slettet eller ændret uden jeres kendskab, og gennemgå serverloggen for usædvanlige forespørgsler mod pluginets funktioner.
Hvad hvis vi ikke selv har adgang til hjemmesidens kode?
Kontakt jeres webhotel eller bureau, og bed dem opdatere pluginet eller deaktivere det, indtil opdateringen er gennemført.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Simple File List plugin for WordPress is vulnerable to arbitrary file modification due to insufficient authorization checks in all versions up to, and including, 6.3.7. This makes it possible for unauthenticated attackers to delete and modify files on the serve. This vulnerability is exploitable even when the administrator has not enabled the AllowFrontManage setting, because the is_admin() check unconditionally short-circuits the guard before that setting is evaluated.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.