CVE-2026-14487: Kritisk fejl i WordPress-plugin Simple Coherent
Alle versioner til og med 2.4.13 af WordPress-pluginet Simple Coherent Form kan få filer slettet af uautoriserede angribere. Opdatér straks.
Hvad er det?
CVE-2026-14487 er en sårbarhed i WordPress-pluginet Simple Coherent Form, der giver angribere mulighed for at slette vilkårlige filer på serveren uden at logge ind. Fejlen skyldes utilstrækkelig validering af filstier (kaldet path traversal, en teknik hvor man manipulerer filstier for at komme uden for den tilsigtede mappe) i funktionen removeUploadDir. Pluginets sikkerhedstjek er reelt værdiløse: et engangskode kaldet nonce, der normalt skal bekræfte en legitim handling, udstedes automatisk til alle besøgende, og en ekstra kontrolværdi kan udregnes offline, fordi den er baseret på en fast, hårdkodet nøgle i pluginets kildekode. Der er dermed ingen reel adgangskontrol på sletningsfunktionen.
Hvem rammer det?
Alle websteder der bruger WordPress-pluginet Simple Coherent Form i version 2.4.13 eller tidligere. Det gælder danske virksomheder og kommuner, der bruger pluginet til kontaktformularer eller lignende på deres hjemmeside. Sårbarheden kræver ikke login og kan udnyttes af enhver, der kan nå webstedet over internettet.
Hvad kan ske?
En angriber kan fjernstyret slette centrale filer på serveren. Slettes filen wp-config.php, som indeholder databaseoplysninger, mister WordPress sin konfiguration og starter installationsguiden forfra. Angriberen kan derefter pege installationen mod sin egen database og få fuld administratoradgang til webstedet, hvilket i praksis fører til fuld overtagelse af serveren og mulighed for at køre vilkårlig kode.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ingen godkendte adgangskoder, ingen handling fra en bruger og kan udføres over netværket med lav kompleksitet. Fortrolighed påvirkes ikke direkte, men både datas integritet og webstedets tilgængelighed rammes hårdt, fordi filer kan slettes og webstedet kan gøres utilgængeligt eller overtages. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men den offentliggjorte beskrivelse er så detaljeret, at et fungerende angreb er let at bygge.
Hvad gør jeg nu?
Reager på følgende måde, i denne rækkefølge:
- Opdatér Simple Coherent Form til en version nyere end 2.4.13, hvor sårbarheden er rettet.
- Kan pluginet ikke opdateres med det samme, så deaktivér det midlertidigt, indtil opdateringen er testet og installeret.
- Tjek om wp-config.php og andre kritiske filer findes og har korrekt indhold, og gennemgå serverens logfiler for kald til scf_get_id_upload og lignende sletningsendpoints.
- Tag en frisk sikkerhedskopi af hele webstedet og databasen, så I kan genskabe siden hurtigt, hvis en fil allerede er slettet.
- Begræns adgang til wp-admin og admin-ajax.php via IP-filtrering eller en webapplikationsfirewall, hvis det er muligt, som ekstra beskyttelseslag.
- Har I ikke selv ressourcer til at verificere om jeres site allerede er kompromitteret, så få en ekstern sikkerhedsgennemgang, inden I går videre med drift af webstedet.
Opdatér inden for 24 timer
Vi anbefaler at opdatere Simple Coherent Form med det samme, da sårbarheden ikke kræver login og kan udnyttes af enhver besøgende. Kan opdateringen ikke gennemføres straks, bør pluginet deaktiveres, indtil det er sket. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, fordi konsekvensen kan være fuld overtagelse af webstedet.
Tidslinje
Konkrete eksempler
Kontaktformular fører til overtagelse af hjemmeside
En dansk håndværksvirksomhed bruger Simple Coherent Form til kontaktformularen på deres WordPress-side. En angriber finder frem til den sårbare adresse, slår sletningsfunktionen op og fjerner filen wp-config.php. Webstedet går ned og viser WordPress’ installationsguide, hvorefter angriberen forbinder siden til sin egen database og opretter sig selv som administrator, og virksomheden mister kontrollen over sit websted, indtil det gendannes fra sikkerhedskopi.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Gå ind i WordPress-administrationen under Plugins, og se om Simple Coherent Form er installeret, og hvilken version der er angivet. Er versionen 2.4.13 eller ældre, er webstedet sårbart.
Kan vi vente til weekenden med at opdatere?
Nej. Angrebet kræver ikke login og kan udføres af enhver over internettet, så vi anbefaler at opdatere eller deaktivere pluginet samme dag, det opdages.
Hvordan ved vi, om vi allerede er blevet ramt?
Tjek om filen wp-config.php stadig findes i webstedets rodmappe, og se om webstedet pludselig viser WordPress’ installationsguide. Gennemgå også serverlogs for uventede kald til pluginets sletningsfunktion.
Er det nok bare at slette pluginet i stedet for at opdatere?
Ja, deaktivering eller fjernelse af pluginet lukker hullet med det samme. Vil I fortsat bruge funktionaliteten, skal I dog opdatere til en rettet version, når den er tilgængelig.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Er der sket databrud, for eksempel adgang til personoplysninger, skal I vurdere anmeldelse til Datatilsynet inden for 72 timer. Er kun webstedets funktion ramt uden datalæk, er der ikke nødvendigvis anmeldelsespligt, men vi anbefaler altid at få en juridisk vurdering.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Simple Coherent Form plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the removeUploadDir function in all versions up to, and including, 2.4.13. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). The scf_get_id_upload endpoint freely issues a valid scf_upload_file_removal nonce to any unauthenticated visitor, and the removal endpoint’s secondary hash check is forgeable offline because it relies on a hardcoded salt embedded in the plugin source, meaning neither control presents a real authorization boundary.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.