CVE-2026-14894: Kritisk filupload-fejl i Super Forms
Super Forms til WordPress har en kritisk sårbarhed (CVE-2026-14894): uautoriserede kan uploade skadelige filer. Opdatér eller deaktivér nu.
Hvad er det?
Sårbarheden findes i Super Forms – Drag & Drop Form Builder, et udbredt formular-plugin til WordPress (CVE-2026-14894). Fejlen er en arbitrær filupload (CWE-434): pluginets funktion submit_form kontrollerer ikke, hvilken filtype der uploades, og kræver ingen brugerrettigheder. Den eneste beskyttelse er en session-nonce, en engangskode der normalt bekræfter, at en forespørgsel er ægte. Men den kode kan enhver besøgende selv hente via en anden funktion i pluginet, super_create_nonce. Dermed kan en angriber i to simple forespørgsler til hjemmesiden hente en gyldig nonce og derefter uploade en fil, der kan udføres som kode på serveren. Det gør det muligt at overtage kontrollen med hjemmesiden uden at logge ind.
Hvem rammer det?
Alle danske virksomheder og organisationer, der driver en WordPress-hjemmeside med pluginet Super Forms – Drag & Drop Form Builder installeret og aktivt, i alle versioner til og med 6.3.313. Det gælder typisk kontaktformularer, ansøgningsformularer og bestillingsformularer, som er sat op med dette plugin, uanset hvor mange andre sikkerhedslag hjemmesiden har.
Hvad kan ske?
En angriber kan uploade en fil, der fungerer som et program på serveren, og derefter køre den. I praksis betyder det, at angriberen kan overtage hele hjemmesiden, læse eller stjæle kundedata, indsætte skadelig kode, der spredes til besøgende, eller bruge serveren som springbræt til resten af virksomhedens netværk. Fordi ingen login kræves, kan angrebet ske helt automatiseret og i stor skala mod mange hjemmesider samtidig.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, kritisk. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen ved udnyttelse er fuld skade på fortrolighed, integritet og tilgængelighed af hjemmesiden. Der er ikke rapporteret aktiv udnyttelse på offentliggørelsesdatoen, men den tekniske beskrivelse er så detaljeret, at den i praksis fungerer som en opskrift på angrebet.
Hvad gør jeg nu?
Handl i denne rækkefølge:
- Opdatér Super Forms-pluginet til en version nyere end 6.3.313. Findes der ingen opdatering, deaktivér og fjern pluginet, indtil en sikker version er tilgængelig.
- Kontrollér under Plugins i WordPress-administrationen, om Super Forms er installeret, og hvilken version der kører.
- Gennemgå uploads-mappen og serverlogs for uventede filer eller filtyper, der ikke burde ligge der, fx filer med endelsen .php eller .phtml.
- Skift adgangskoder til WordPress-administratorer og databasen, hvis der er tegn på uautoriseret adgang eller uventede filer.
- Overvej en webapplikationsfirewall, der kan blokere skadelige filuploads, som et ekstra lag af beskyttelse.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om siden er kompromitteret, eller hvis pluginet er kritisk for driften og ikke kan fjernes med det samme.
Opdatér eller deaktivér inden for 24 timer
Vi anbefaler at opdatere Super Forms-pluginet med det samme, eller deaktivere og fjerne det, hvis der endnu ikke findes en sikker version. Det er kun i orden at vente, hvis pluginet allerede er deaktiveret, eller hvis I har bekræftet, at det ikke er installeret på jeres hjemmeside.
Tidslinje
Konkrete eksempler
Kontaktformular bliver indgang til hjemmesiden
En dansk håndværksvirksomhed bruger Super Forms til sin kontaktformular på hjemmesiden. En angriber sender to automatiserede forespørgsler til sitet, henter en gyldig nonce og uploader en fil, der fungerer som et styringsprogram på serveren. Herefter kan angriberen ændre hjemmesidens indhold, stjæle kundeoplysninger fra tilbudsformularer eller bruge serveren til at sende spam, uden at nogen har logget ind på sitet.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger Super Forms?
Gå til Plugins i jeres WordPress-administration og se, om Super Forms – Drag & Drop Form Builder står som installeret. Er I i tvivl, kan jeres webbureau eller udvikler bekræfte det for jer.
Kan vi vente med at reagere til efter weekenden?
Vi anbefaler at handle samme dag. Angrebet kræver ingen login og kan automatiseres, så en hjemmeside med det sårbare plugin kan blive fundet og misbrugt, mens I venter.
Er vi allerede blevet ramt?
Tjek uploads-mappen for filer med usædvanlige filtyper som .php eller .phtml, og gennemgå serverlogs for forespørgsler til submit_form og super_create_nonce fra ukendte IP-adresser. Findes der spor, bør I behandle sitet som kompromitteret.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder tegn på, at angrebet faktisk er udnyttet og persondata er blevet tilgået eller stjålet. I så fald skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne inden for 72 timer.
Er det nok bare at slette de uploadede filer?
Nej. Har en angriber allerede fået kørt kode på serveren, kan der være efterladt bagdøre andre steder. Vi anbefaler en fuld gennemgang af sitet, ikke kun en oprydning i uploads-mappen.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Super Forms – Drag & Drop Form Builder plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 6.3.313 via the submit_form function. This is due to missing file type validation and the absence of any capability check on the submit_form nopriv AJAX handler, whose only barrier is a session nonce freely obtainable by unauthenticated visitors via a separate nopriv endpoint. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible. The nonce requirement is trivially bypassed because the super_create_nonce nopriv AJAX action allows any unauthenticated visitor to mint a valid sf_nonce and session cookie in a single prior request, reducing exploitation to two unauthenticated HTTP requests.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.