CVE-2026-15300: SQL-injektion i GEO my WP til WordPress

SQL-injektion (CWE-89) er en teknik, hvor en angriber indsætter egen databasekode i et system via et inputfelt eller en URL-parameter, så koden bliver udført af databasen. I GEO my WP, et plugin til at vise nærmeste butik eller afdeling på et kort, læses parametrene distance, lat og lng fra selve URL’en i stedet for et almindeligt formularfelt. Det betyder, at WordPress’ indbyggede beskyttelse mod skadelig tekst ikke virker på disse værdier. Pluginnet forsøgte at rense værdierne med funktionen esc_sql(), men den funktion beskytter kun tekststrenge, ikke tal, og værdierne blev brugt uden citationstegn i afstandsberegningen i databaseforespørgslen. Derfor kunne en angriber indsætte kode som ‘1 OR SLEEP(3)’ og få databasen til at udføre den. Fejlen er rettet i version 4.5.5, hvor pluginnet nu kontrollerer, at værdierne faktisk er tal, før de bruges.

Alle WordPress-websites, der har GEO my WP (også kendt som Posts Locator) installeret i version 4.5.4 eller ældre. Pluginnet bruges typisk til butiksfindere, forhandlerkort og ejendomssøgninger, hvor besøgende kan søge efter det nærmeste punkt på et kort. Danske virksomheder og kommuner med en butiksfinder, afdelingsoversigt eller lignende kortfunktion på deres WordPress-side bør kontrollere, om pluginnet er i brug.

En angriber kan uden login sende en almindelig webforespørgsel med skadelige værdier i distance-, lat- eller lng-parametrene. Det kan bruges til at overbelaste databasen med langsomme forespørgsler, så webstedet bliver utilgængeligt, eller til at ændre data i databasen. Fordi angrebet går direkte til databasen, kan det i praksis også åbne for videre udnyttelse, selv om selve CVSS-vurderingen ikke sætter fortrolighed som direkte påvirket.

CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ingen login (PR:N) og ingen handling fra en bruger (UI:N). Det kan udføres over internettet med lav teknisk kompleksitet (AC:L), altså med et enkelt manipuleret webkald. Konsekvensen er høj for integritet og tilgængelighed, det vil sige at data kan ændres og systemet kan gå ned. Der er på offentliggørelsesdatoen ikke rapporteret aktiv udnyttelse i naturen, men den tekniske beskrivelse er detaljeret nok til, at en fungerende udnyttelse kan udvikles hurtigt.

Følg punkterne i denne rækkefølge:

1. Opdatér GEO my WP (Posts Locator) til version 4.5.5 eller nyere. Det lukker hullet, da pluginnet nu kræver, at koordinater og afstand er reelle tal, før de bruges i databaseforespørgslen.
2. Undersøg alle jeres WordPress-installationer for, om pluginnet er installeret og aktivt, også på sekundære sider og undersider.
3. Gennemgå webserverens logfiler for forespørgsler til søgefunktionen med usædvanlige tegn eller SQL-nøgleord i distance-, lat- eller lng-parametrene.
4. Kan opdateringen ikke gennemføres med det samme, så deaktivér pluginnets søgefunktion eller blokér adgang til den via en webapplikationsfirewall.
5. Tag en frisk backup af databasen, inden opdateringen installeres.
6. Kontakt en sikkerhedspartner, hvis I finder tegn på misbrug i logfilerne, eller hvis I ikke selv har ressourcer til at gennemføre opdatering og logtjek.