CVE-2026-18316: Kritisk fejl i WordPress-plugin Solace Extra

CVE-2026-18316 er en sårbarhed i WordPress-pluginnet Solace Extra, hvor en funktion til at importere zip-filer mangler en ordentlig rettighedskontrol. Det tekniske begreb er ‘missing authorization’: koden tjekker ikke, om brugeren faktisk må udføre handlingen, kun om der findes en gyldig nonce, en teknisk sikkerhedskode, som WordPress deler bredt ud til alle, der er logget ind, og i dette tilfælde endda til besøgende uden login, fordi funktionen også er registreret til ikke-loggede brugere. Det betyder, at hvem som helst kan kalde funktionen og udløse import af demo-indhold, som overskriver menuer, widgets og temaindstillinger.

Sårbarheden rammer alle WordPress-websites, der har Solace Extra-pluginnet installeret i version 1.6.0 eller tidligere. Det gælder typisk sider bygget med Solace-temaet, hvor pluginnet leverer demo-import og layoutfunktioner. Er pluginnet ikke installeret eller er det deaktiveret, er sitet ikke ramt.

En angriber kan fjernstyret slette navigationsmenuer, sidebar-widgets og alle tilpasninger af temaet, samt overskrive Elementor-skabeloner med demo-indhold. For en dansk virksomhed betyder det i praksis, at hjemmesiden pludselig mister sin menu, sit layout og sine tekster, uden at nogen i virksomheden har rørt noget. Det kræver typisk en genopretning fra backup og timer med oprydning, og hvis der ikke findes en frisk backup, kan indhold være tabt for altid.

CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, fordi funktionen fejlagtigt også er åben for besøgende uden konto på sitet. Det kræver heller ikke, at nogen klikker på noget eller udfører en handling, angrebet kan sendes direkte til serveren. Der er ikke risiko for, at data læses eller stjæles, men høj risiko for, at data ødelægges eller overskrives, og at sitet bliver utilgængeligt i sin normale form. Der er ikke oplysninger om, at sårbarheden allerede udnyttes aktivt.

Følgende skridt lukker hullet og begrænser skaden, hvis sitet allerede er ramt.

1. Deaktivér Solace Extra-pluginnet med det samme, indtil der findes en opdateret version uden fejlen. Det lukker hullet fuldstændigt.
2. Tjek om jeres website allerede har Solace Extra installeret, og hvilken version, via WordPress’ plugin-oversigt.
3. Tag en frisk backup af databasen og filerne nu, hvis I ikke allerede har en fra i dag eller i går.
4. Gennemgå sitet for tegn på ændringer: forsvundne menuer, ændrede widgets eller ukendt demo-indhold, og gendan fra backup hvis nødvendigt.
5. Overvåg pluginnets ændringslog og skift til en opdateret version, så snart udvikleren udgiver en rettelse.
6. Kontakt jeres webbureau eller en sikkerhedsrådgiver, hvis sitet allerede viser tegn på misbrug, eller hvis I ikke selv kan vurdere, om pluginnet er i brug.