CVE-2026-19598: Kritisk fejl i Pods-plugin til WordPress
Fejl i WordPress-pluginet Pods giver angribere adgang som administrator uden login. Opdatér straks til nyeste version.
Hvad er det?
Pods – Custom Content Types and Fields er et populært WordPress-plugin, der bruges til at oprette og administrere brugerdefinerede indholdstyper og felter på hjemmesider. CVE-2026-19598 er en fejl i pluginets adgangskontrol (CWE-863, forkert autorisation). Alle sikkerhedstjek, herunder krav om login og rettigheder, sendes gennem en funktion, der ved en fejl kun skriver til en logfil i stedet for at stoppe forespørgslen. Det betyder, at kontrollerne reelt ikke virker, og en hvilken som helst besøgende kan sende kommandoer, som normalt kræver administratorrettigheder.
Hvem rammer det?
Alle WordPress-hjemmesider, der bruger pluginet Pods – Custom Content Types and Fields i version 3.3.9 eller ældre. Det gælder både danske virksomheder, foreninger og kommuner, der bruger WordPress som CMS med Pods til at strukturere indhold, produktdata eller formularer.
Hvad kan ske?
En uautentificeret angriber kan give sig selv administratorrettigheder eller ændre adgangskoden på en hvilken som helst brugerkonto, inklusive sitets ejer. Dermed overtages hele hjemmesiden. I praksis kan det bruges til at installere skadelig kode, sætte omdirigeringer til svindelsider op, stjæle kundedata fra formularer eller sende phishing-mails i virksomhedens navn.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ikke login, ikke at nogen klikker på noget, og kan udføres over internettet med lav teknisk kompleksitet. Der er ikke oplysninger om, at fejlen aktivt udnyttes endnu, men den er offentligt beskrevet, hvilket gør det sandsynligt, at forsøg på misbrug kommer hurtigt.
Hvad gør jeg nu?
Fejlen kræver ingen adgangskode og kan udnyttes automatisk, så den skal lukkes først, før andre tiltag giver mening.
- Opdatér pluginet Pods – Custom Content Types and Fields til en version nyere end 3.3.9 med det samme.
- Kan opdateringen ikke gennemføres straks, så deaktivér pluginet midlertidigt, indtil det er opdateret.
- Gennemgå listen over administratorer i WordPress for ukendte eller nyoprettede konti.
- Skift adgangskode på alle administratorkonti som en ekstra sikkerhed.
- Tjek serverlogs for usædvanlig aktivitet mod admin-ajax.php i perioden op til opdateringen.
- Har I tegn på, at sitet allerede er kompromitteret, bør I hente ekstern hjælp til oprydning og gennemgang af sitet.
Opdatér inden for 24 timer
Vi anbefaler, at opdateringen af Pods-pluginet gennemføres samme dag, sårbarheden bliver kendt, uanset om hjemmesiden opfattes som vigtig eller ej. Det er kun i orden at vente, hvis pluginet allerede er deaktiveret eller fjernet fra sitet. Er I i tvivl om, om jeres version er ramt, bør I tjekke pluginversionen i dag frem for at vente på næste planlagte vedligeholdelse.
Tidslinje
Konkrete eksempler
Overtagelse af en dansk virksomheds hjemmeside
En mindre dansk produktionsvirksomhed bruger WordPress med Pods til at vise produktdata på hjemmesiden. En angriber udnytter fejlen til at oprette en ny administratorkonto uden at logge ind. Herfra installeres skadelig kode, der omdirigerer besøgende til en svindelside, og virksomhedens kundeliste bliver eksponeret via en kompromitteret formular.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version?
Log ind i WordPress-administrationen, gå til Plugins, og se versionsnummeret ud for Pods – Custom Content Types and Fields. Er det 3.3.9 eller lavere, er sitet sårbart.
Kan vi vente med opdateringen til weekenden?
Nej. Fejlen kræver hverken login eller brugerhandling, så et automatiseret angreb kan finde og udnytte sitet, før weekenden. Opdatér inden udgangen af dagen.
Hvordan tjekker vi, om sitet allerede er ramt?
Gennemgå listen over administratorbrugere for konti, I ikke genkender, og se efter uventede ændringer i indhold eller filer. Er der oprettet en ukendt administrator, skal I regne sitet for kompromitteret.
Skal vi anmelde hændelsen, hvis sitet er blevet overtaget?
Er der sket databrud, for eksempel adgang til kunde- eller medarbejderdata, skal I vurdere anmeldelsespligt efter databeskyttelsesreglerne og eventuelt anmelde det til Datatilsynet inden for 72 timer.
Er det nok at deaktivere pluginet i stedet for at opdatere?
Deaktivering lukker hullet midlertidigt, men fjerner samtidig den funktionalitet, pluginet leverer. Det er en nødløsning, indtil en opdateret version kan installeres.
Påvirker fejlen andre plugins eller kun Pods?
Fejlen sidder i Pods’ egen adgangskontrol og påvirker ikke andre plugins direkte. Men da angriberen kan opnå fuld administratoradgang, kan alt indhold på sitet, inklusive andre plugins, efterfølgende manipuleres.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Privilege Escalation via Authorization Bypass in all versions up to, and including, 3.3.9. The vulnerability exists because the pods_admin AJAX router funnels every access check — including the method allowlist, nonce verification, login enforcement, and capability gate — through pods_error(), which under the JSON meta-box-loader compatibility path only writes failures to the PHP error log and returns false instead of terminating the request, rendering all guards ineffective. This makes it possible for unauthenticated attackers to escalate their privileges to Administrator or overwrite the password of any user account, including the site owner’s, enabling complete site takeover, or perform another administrator action.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.