CVE-2026-14524: Kritisk fejl i ProSolution WP Client
CVE-2026-14524: kritisk fejl i WordPress-plugin ProSolution WP Client lader uautoriserede slette filer på serveren. Deaktiver pluginet nu.
Hvad er det?
CVE-2026-14524 er en sårbarhed i WordPress-pluginet ProSolution WP Client, i alle versioner til og med 2.0.8. Fejlen er en path traversal, en metode hvor en angriber manipulerer et filnavn til at pege uden for den mappe, systemet forventer. Funktionen proSol_fileDeleteProcess kontrollerer ikke filstien godt nok, så en angriber kan få pluginet til at slette filer andre steder på serveren end tilsigtet, for eksempel wp-config.php, som indeholder databaseoplysninger og andre nøgleindstillinger for WordPress-sitet.
Hvem rammer det?
Det rammer alle virksomheder og organisationer, der driver en WordPress-hjemmeside med pluginet ProSolution WP Client installeret i version 2.0.8 eller ældre. Det gælder typisk mindre og mellemstore virksomheder, foreninger og kommunale hjemmesider, der bruger WordPress med tredjepartsplugins til kundeportaler eller filhåndtering.
Hvad kan ske?
En angriber kan uden login få pluginet til at slette centrale filer på serveren. Slettes wp-config.php, går sitet i mange tilfælde i en fejltilstand, hvor WordPress starter en ny installationsguide. Angriberen kan i den situation ofte gennemføre installationen selv og dermed få fuld kontrol over sitet og serveren, altså det man kalder remote code execution. I praksis betyder det nedbrud, dataforvanskning og risiko for at angriberen overtager hjemmesiden helt.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login og ingen handling fra en bruger på siden, og det kan udføres over internettet med lav teknisk kompleksitet. Fortrolighed påvirkes ikke direkte, men integritet og tilgængelighed rammes hårdt, fordi angriberen kan slette filer og dermed ødelægge sitets funktion. Der er ikke rapporteret aktiv udnyttelse i naturen på offentliggørelsesdatoen, men den tekniske fremgangsmåde er beskrevet offentligt, hvilket gør det let for andre at bygge et angreb.
Hvad gør jeg nu?
Sårbarheden lukkes bedst ved at fjerne den sårbare funktion fra jeres site. Følg punkterne herunder i den viste rækkefølge.
- Deaktiver eller afinstaller pluginet ProSolution WP Client, indtil der findes en opdateret version fra leverandøren.
- Undersøg leverandørens plugin-side eller WordPress.org for en nyere version end 2.0.8, og opdatér, hvis den findes.
- Gennemgå serverlogs for uventede kald mod admin-ajax.php med parametrene proSol_fileUploadModalProcess og proSol_fileDeleteProcess.
- Genskab wp-config.php fra en sikker backup, hvis filen mangler eller er ændret.
- Overvej en midlertidig regel i jeres webapplikationsfirewall, der blokerer kald til de nævnte funktioner, hvis pluginet skal forblive aktivt af driftsmæssige årsager.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om sitet allerede er kompromitteret, eller hvis wp-config.php er blevet slettet.
Deaktiver pluginet inden 24 timer
Vi anbefaler, at I deaktiverer ProSolution WP Client med det samme, da der på offentliggørelsesdatoen ikke findes en rettet version. Det er kun forsvarligt at vente, hvis pluginet allerede er fjernet fra jeres site, eller hvis I har en webapplikationsfirewall, der aktivt blokerer de sårbare funktionskald. Er I i tvivl om, hvorvidt sitet er ramt, bør I få en teknisk gennemgang inden for få dage.
Tidslinje
Konkrete eksempler
Kundeportal hos en dansk servicevirksomhed
En mindre servicevirksomhed bruger WordPress med ProSolution WP Client til at lade kunder uploade dokumenter. En angriber udnytter fejlen til at slette wp-config.php og gennemfører derefter selv en ny installation af WordPress, hvorved angriberen får fuld administratoradgang til sitet og kan installere skadelig kode eller stjæle kundedata, der lå i databasen.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Log ind i WordPress-administrationen, gå til Plugins, og se om ProSolution WP Client står på listen. Se versionsnummeret under pluginets navn, og sammenlign med 2.0.8 eller tidligere.
Kan vi vente til weekenden med at reagere?
Nej. Angrebet kræver ikke login og kan udføres af hvem som helst på internettet. Vi anbefaler at deaktivere pluginet samme dag, I opdager det.
Er vores site allerede ramt?
Tjek om wp-config.php stadig findes, og om jeres site kører normalt. Ser I en WordPress-installationsguide, hvor der før var en fungerende hjemmeside, er det et tegn på, at filen er slettet, og sitet bør tages ned og undersøges.
Skal vi anmelde dette som et sikkerhedsbrud?
Er personoplysninger involveret, og har angriberen fået kontrol over sitet eller adgang til data, kan det udløse anmeldepligt efter databeskyttelsesreglerne. Vurdér omfanget sammen med jeres databeskyttelsesrådgiver.
Kan vi bare fjerne pluginet uden at miste data?
Deaktivering af pluginet fjerner ikke jeres øvrige data, men funktioner der er afhængige af pluginet, stopper med at virke. Tag en backup af databasen og filer, før I foretager ændringer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The ProSolution WP Client plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the proSol_fileDeleteProcess function in all versions up to, and including, 2.0.8. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). An attacker must first call the proSol_fileUploadModalProcess handler to poison their own session with a path-traversal key, then call proSol_fileDeleteProcess with that key as the filename parameter; both steps require only the publicly exposed frontend nonce.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.