CVE-2026-14484: Kritisk filsletning i RapiSafe-plugin

CVE-2026-14484 er en sårbarhed i WordPress-pluginnet RapiSafe – Secure Multi File Upload for Contact Form 7, i alle versioner op til og med 1.0.4. Fejlen er en sti-traversal, hvor en funktion ikke kontrollerer filstien korrekt, og som gør det muligt at pege uden for det tilsigtede uploadmappe. Funktionen handleAjaxRemoveUpload kan derfor bruges til at slette vilkårlige filer på serveren. Den sikkerhedskode, der normalt skal beskytte funktionen mod misbrug, kaldet en nonce, ligger offentligt i JavaScript-koden på hver side med en RapiSafe-uploadfelt. Det betyder, at enhver besøgende, uden at logge ind, kan finde koden og udføre angrebet.

Det rammer danske virksomheder og organisationer, der kører WordPress med Contact Form 7 og har installeret RapiSafe – Secure Multi File Upload i version 1.0.4 eller ældre. Pluginnet bruges typisk til formularer, hvor besøgende kan uploade filer, for eksempel jobansøgninger, support-tickets eller dokumentindsendelser.

En angriber kan slette filen wp-config.php, som indeholder WordPress’ database-oplysninger. Når den fil forsvinder, starter WordPress sin installationsguide igen, og angriberen kan indtaste egne database-oplysninger og dermed overtage hele sitet. I praksis kan det betyde nedbrud af hjemmesiden, tab af data og fuld overtagelse af serveren, alt sammen uden at angriberen behøver et login.

CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger på sitet, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen rammer ikke fortrolighed, men giver høj påvirkning af både integritet og tilgængelighed, fordi filer kan slettes og systemet kan gøres utilgængeligt eller overtages. Der er ingen bekræftet aktiv udnyttelse endnu, men detaljerne om den offentligt eksponerede nonce gør angrebet nemt at gennemføre for enhver, der finder pluginnet.

Følg punkterne i denne rækkefølge:

1. Deaktivér RapiSafe – Secure Multi File Upload for Contact Form 7 i jeres WordPress-administration, indtil en rettet version findes.
2. Undersøg om der findes en nyere version af pluginnet end 1.0.4, og opdatér til den, hvis den løser problemet.
3. Tag en sikkerhedskopi af wp-config.php og hele WordPress-installationen, hvis det ikke allerede sker automatisk.
4. Gennemgå serverlogfiler for kald til handleAjaxRemoveUpload eller forsøg på at slette filer, som ikke stammer fra jeres egne brugere.
5. Overvej at fjerne pluginnet helt, hvis det ikke er kritisk for jeres formularer, og find et alternativ med bedre sikkerhedspraksis.
6. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om sitet allerede er kompromitteret, eller hvis wp-config.php allerede er forsvundet.