CVE-2026-11944: Path traversal i openSIS Classic 9.3

CVE-2026-11944 er en sårbarhed af typen path traversal, hvor et program ikke kontrollerer filstier korrekt og derved kan bruges til at bevæge sig ud af den tilsigtede mappe på serveren. Fejlen findes i openSIS Classic 9.3, konkret i den ældre besked-funktion, hvor brugere kan hente vedhæftede filer fra afsendte beskeder. Ved at manipulere med filstien i den forespørgsel, der bruges til at downloade en vedhæftning, kan en logget ind bruger hente filer, som vedkommende ikke skulle have adgang til, for eksempel systemkonfiguration eller andre brugeres data.

Sårbarheden findes i openSIS Classic version 9.3, et administrationssystem der bruges af skoler og uddannelsesinstitutioner til at holde styr på elevdata, karakterer og kommunikation. Det rammer installationer uanset om serveren kører på Windows, Linux eller macOS, da fejlen ligger i selve applikationskoden og ikke i det underliggende operativsystem. Er I en skole, en friskole eller en kommune, der administrerer elevdata via openSIS, bør I undersøge om jeres installation kører version 9.3.

En bruger med almindelig adgang, for eksempel en lærer eller administrativ medarbejder, kan udnytte fejlen til at læse filer på serveren, som ligger uden for den mappe, de normalt har adgang til. I praksis kan det betyde adgang til konfigurationsfiler med adgangskoder til databasen, kildekode eller andre elevers og medarbejderes fortrolige oplysninger. Får en angriber først adgang til en almindelig konto, for eksempel via en kompromitteret adgangskode, kan denne sårbarhed give adgang til langt mere end den pågældende konto burde have.

CVSS-score er 6,5 af 10, hvilket er moderat. Sårbarheden kræver, at angriberen allerede er logget ind med lave rettigheder, men kræver ingen handling fra andre brugere og kan udnyttes over netværket uden avanceret teknisk viden. Kun fortroligheden er påvirket, det vil sige at data kan læses, men ikke ændres eller slettes, og systemet kan ikke bringes ned via denne sårbarhed. Der er ikke offentliggjort oplysninger om, at sårbarheden aktivt udnyttes i skarpe angreb.

Har I openSIS Classic 9.3 kørende, bør I handle i denne rækkefølge:

1. Kontakt leverandøren eller undersøg openSIS’ officielle kanaler for en opdatering, der retter fejlen i besked-funktionens vedhæftningsdownload, og installér den så snart den er tilgængelig.
2. Er der ingen opdatering tilgængelig endnu, begræns adgangen til den ældre besked-funktion, eller deaktivér den helt, hvis den ikke er i aktiv brug.
3. Gennemgå filrettigheder på serveren, så webserverens bruger kun har læseadgang til de mapper, der rent faktisk skal være tilgængelige.
4. Tjek logfiler for usædvanlige forespørgsler mod vedhæftningsdownload, særligt forespørgsler der indeholder tegn som ../ eller lignende mønstre.
5. Skift adgangskoder og gennemgå adgangsrettigheder for konti, der har adgang til besked-funktionen, hvis I har mistanke om, at en konto allerede er kompromitteret.
6. Er I i tvivl om, hvordan I afgrænser adgang eller vurderer om I er berørt, bør I søge hjælp hos en IT-sikkerhedsrådgiver.