CVE-2026-18351: Kritisk fejl i Elementor-uploadplugin
CVE-2026-18351 lader uautoriserede angribere uploade skadelige filer via WordPress-pluginnet Drag and Drop File Upload for Elementor Forms. Fjern eller opdatér pluginnet.
Hvad er det?
CVE-2026-18351 er en sårbarhed i WordPress-pluginnet Drag and Drop File Upload for Elementor Forms, i alle versioner til og med 1.6.0. Fejlen er en type af usikker filupload, hvor systemet ikke kontrollerer godt nok, hvilke filtyper der må lægges op på serveren. Funktionen is_file_type_valid() bruger et parameter, som angriberen selv sender, til at afgøre om en fil er tilladt. Ved at snyde med filendelsen kan en angriber få systemets egen navnenormalisering til at gøre filen om til en PHP-fil, som webserveren kan udføre som kode. Dermed kan en ikke-logget-ind angriber uploade en fil, der kører kode på serveren, uden at kende brugernavn eller adgangskode.
Hvem rammer det?
Det rammer alle danske virksomheder og kommuner, der driver en WordPress-hjemmeside med pluginnet Drag and Drop File Upload for Elementor Forms installeret i version 1.6.0 eller ældre. Pluginnet bruges typisk til at lade besøgende uploade filer via kontaktformularer eller ansøgningsformularer bygget med Elementor. Er formularfunktionen aktiv på jeres side, er den sårbar uanset om siden bruges til jobansøgninger, support eller andre selvbetjeningsløsninger.
Hvad kan ske?
En angriber kan uploade en fil, der ser ud som et billede eller dokument, men som i virkeligheden er programkode. Når filen udføres på serveren, får angriberen fuld kontrol over hjemmesiden og ofte over den underliggende server. I praksis kan det bruges til at stjæle kundedata, sende phishing fra jeres domæne, sætte skadelig kode ind på siden, eller bruge serveren som afsæt til angreb mod andre systemer i netværket. Fordi der ikke kræves login, kan angrebet ske automatiseret og i stor skala mod alle sider med det sårbare plugin.
Hvor alvorligt er det?
CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kræver ingen handling fra en bruger, og kan udføres over internettet mod pluginnets uploadfunktion. Konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed, altså at angriberen kan læse, ændre og lukke ned for hjemmesiden. Der er ikke oplyst om aktiv udnyttelse i skarpe angreb ved offentliggørelsen, men den lave angrebskompleksitet og det manglende krav om login gør sårbarheden attraktiv for automatiserede angreb.
Hvad gør jeg nu?
Følgende trin bør gennemføres i den viste rækkefølge:
- Deaktivér pluginnet Drag and Drop File Upload for Elementor Forms med det samme, indtil en opdateret version findes, eller fjern det helt hvis det ikke er kritisk for jeres formularer.
- Undersøg jeres WordPress-installation for tegn på allerede uploadede filer med usædvanlige filendelser i upload-mapperne, herunder filer der ligner billeder men indeholder kode.
- Skift adgangskoder til WordPress-administratorer og relaterede tjenester, hvis I finder tegn på uautoriseret adgang.
- Genindfør pluginnet, når leverandøren udgiver en rettet version, og kontrollér versionsnummeret inden aktivering.
- Gennemgå jeres øvrige plugins for lignende uploadfunktioner, da fejltypen ofte går igen i formularplugins.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv har mulighed for at fjerne pluginnet eller undersøge serveren for kompromittering.
Deaktivér pluginnet i dag
Vi anbefaler, at I deaktiverer eller fjerner pluginnet Drag and Drop File Upload for Elementor Forms i dag, da der ikke findes en rettet version i skrivende stund. Det er ikke forsvarligt at vente til weekenden, fordi angrebet ikke kræver login og kan udføres automatiseret mod alle sårbare sider. I kan først genaktivere formularfunktionen, når leverandøren har udgivet en opdatering, og I har verificeret versionsnummeret.
Tidslinje
Konkrete eksempler
Jobansøgningsformular på kommunal hjemmeside
En dansk kommune bruger Elementor til en jobansøgningsformular med filupload til CV. En angriber uploader en fil, der ser ud som et PDF-dokument, men som faktisk er kode. Koden udføres på serveren, og angriberen får adgang til kommunens webserver og de data, den indeholder.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger det sårbare plugin?
Log ind i WordPress-administrationen, gå til Plugins, og søg efter Drag and Drop File Upload for Elementor Forms. Er versionen 1.6.0 eller lavere, er I ramt.
Kan vi vente med at handle til efter weekenden?
Nej. Angrebet kræver ikke login og kan automatiseres, så risikoen løber, indtil pluginnet er deaktiveret eller opdateret.
Findes der en opdateret version, vi kan installere i stedet for at deaktivere?
Der var ikke oplyst en rettet version ved offentliggørelsen. Tjek plugin-siden i WordPress regelmæssigt for en opdatering, og installer den så snart den findes.
Skal vi anmelde det, hvis vi finder tegn på uploadede skadelige filer?
Finder I beviser for, at persondata er blevet tilgået eller lækket, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne, og I bør kontakte en sikkerhedsrådgiver for at afklare omfanget.
Påvirker fejlen andre plugins eller kun dette?
Fejlen er specifik for dette plugins filkontrol, men samme type sårbarhed, usikker filupload, findes ofte i andre formular- og uploadplugins, så en generel gennemgang er fornuftig.
Kan vi bruge en webapplikationsfirewall som midlertidig løsning?
En webapplikationsfirewall kan reducere risikoen, men er ikke en fuld løsning, da angrebsmønstret kan variere. Deaktivering af pluginnet er den sikreste midlertidige løsning.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Drag and Drop File Upload for Elementor Forms plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 1.6.0 via the elementor_file_upload function. This is due to insufficient file type validation in the is_file_type_valid() function, which uses the attacker-controlled ‘type’ parameter as regex keys in the MIME allowlist, allowing blacklist bypass via a crafted extension that sanitize_file_name() later normalizes to a PHP extension. This makes it possible for unauthenticated attackers to upload files that may be executable, which makes remote code execution possible.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.