CVE-2026-12089: Filaflæsning i LWS Optimize til WordPress
Sårbarhed i WordPress-pluginet LWS Optimize lader brugere med Editor-rolle læse vilkårlige filer på serveren. Opdatér pluginet.
Hvad er det?
CVE-2026-12089 er en sårbarhed i WordPress-pluginet LWS Optimize – All-in-One Speed Booster & Cache Tools, i version 3.3.19 og tidligere. Fejlen ligger i funktionen combine_current_css(), som skal samle CSS-filer for at gøre en hjemmeside hurtigere. Funktionen omdanner webadresser fundet i sidens HTML til filstier på serveren uden at kontrollere, at stien rent faktisk peger på en CSS-fil inde i WordPress-installationen. Det kaldes sti-traversering (path traversal): ved at snyde funktionen kan man få den til at åbne og læse filer helt andre steder på serveren, for eksempel konfigurationsfiler med adgangskoder.
Hvem rammer det?
Alle danske virksomheder og kommuner, der bruger WordPress med pluginet LWS Optimize – All-in-One Speed Booster & Cache Tools i version 3.3.19 eller ældre. Det gælder typisk mindre og mellemstore virksomheder, der selv driver deres hjemmeside eller webshop på WordPress og bruger pluginet til at gøre siden hurtigere.
Hvad kan ske?
En bruger med Editor-rolle eller højere, altså nogen der allerede kan redigere indlæg og sider, kan udnytte fejlen til at læse følsomme filer på serveren. Det kan for eksempel være wp-config.php, som indeholder adgangskoder til databasen, eller andre konfigurationsfiler med hemmeligheder. Med de oplysninger kan angriberen gå videre og få fuld kontrol over hjemmesiden eller databasen bag den.
Hvor alvorligt er det?
CVSS-score er 4,9 ud af 10, vurderet som moderat. Angrebet kræver ikke, at brugeren klikker på noget (ingen brugerinteraktion), men det kræver et login med Editor-rettigheder eller derover (PR:H). Det betyder, at en udefrakommende ikke kan udnytte fejlen uden først at have fået adgang til en konto med redaktørrettigheder, for eksempel gennem et stjålet password eller en medarbejder med onde hensigter. Til gengæld er konsekvensen for fortrolighed høj: angriberen kan læse enhver fil, systemet har adgang til. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér pluginet LWS Optimize – All-in-One Speed Booster & Cache Tools til en version nyere end 3.3.19 via WordPress-administrationen.
- Gennemgå, hvilke brugere der har Editor-rollen eller højere, og fjern rettigheder fra konti, der ikke har brug for dem.
- Skift adgangskoder til alle Editor- og administratorkonti, hvis I er i tvivl om, hvorvidt en konto er blevet misbrugt.
- Kontrollér, at følsomme filer som wp-config.php ikke indeholder unødvendigt bredt genbrugte adgangskoder, og overvej at flytte hemmeligheder til miljøvariabler.
- Slå to-faktor-login til for redaktør- og administratorkonti, så et stjålet password ikke alene giver adgang.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om jeres WordPress-installation allerede er blevet ramt, eller hvis I ikke har ressourcer til at gennemgå brugerrettigheder og logs.
Opdatér ved næste vedligeholdelsesvindue
Vi anbefaler, at I opdaterer pluginet til nyeste version og samtidig gennemgår, hvem der har Editor-rettigheder på jeres WordPress-side. Da udnyttelse kræver et eksisterende login med forhøjede rettigheder, er det ikke nødvendigt at lukke siden akut, men opgaven bør ikke ligge længere end til næste planlagte opdatering. Har I mange eksterne redaktører eller freelancere med adgang, bør I prioritere det højere.
Tidslinje
Konkrete eksempler
Kompromitteret redaktørkonto i en dansk webshop
En mindre dansk webshop bruger WordPress med pluginet LWS Optimize og har flere freelance-tekstforfattere med Editor-adgang. En af kontiene bliver kompromitteret gennem et genbrugt password fra et andet lækket login. Angriberen udnytter derefter sårbarheden til at læse wp-config.php og finder adgangskoden til databasen, hvorefter hele webshoppens kundedatabase er i fare.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-side bruger pluginet LWS Optimize – All-in-One Speed Booster & Cache Tools i version 3.3.19 eller ældre. Tjek pluginversionen under Plugins i WordPress-administrationen.
Kan vi vente til weekenden med at opdatere?
Ja, det er forsvarligt, da udnyttelse kræver, at nogen allerede har en konto med Editor-rettigheder eller derover. Vent dog ikke længere end til næste planlagte vedligeholdelse, og gennemgå i mellemtiden jeres brugerliste.
Hvordan tjekker vi, om nogen har udnyttet fejlen?
Se efter usædvanlig adgang til filer som wp-config.php i jeres serverlogs, og kontrollér, om der er sket ændringer i adgangskoder til databasen eller nye administratorkonti, I ikke selv har oprettet.
Skal vi anmelde hændelsen, hvis vi finder spor af misbrug?
Hvis I finder tegn på, at følsomme oplysninger eller persondata er blevet læst eller lækket, skal I vurdere, om det udløser anmeldelsespligt efter databeskyttelsesloven, og eventuelt kontakte Datatilsynet.
Rammer sårbarheden også vores kunder eller besøgende på hjemmesiden?
Nej, angrebet kræver et login med Editor-rettigheder på selve WordPress-installationen. Almindelige besøgende på hjemmesiden kan ikke udnytte fejlen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The LWS Optimize – All-in-One Speed Booster & Cache Tools plugin for WordPress is vulnerable to Arbitrary File Read in versions up to, and including, 3.3.19. This is due to the combine_current_css() function trusting values harvested from page HTML and converting same-site URLs to absolute filesystem paths before reading them with file_get_contents()/MinifyCSS::add(), without enforcing that the resolved path stay within ABSPATH or have a .css extension. This makes it possible for authenticated attackers, with Editor-level access and above, to read arbitrary files.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.