CVE-2026-2470: Adgangsfejl i Pagelayer til WordPress

CVE-2026-2470 er en fejl i adgangskontrollen (CWE-863: Incorrect Authorization) i WordPress-pluginnet Page Builder: Pagelayer. Fejlen sidder i AJAX-funktionen pagelayer_save_content, der lader brugere med basal redigeringsret gemme data kaldet pagelayer_contact_templates på opslag, de kan redigere, også opslag der endnu ikke er offentliggjort. Et andet endepunkt, pagelayer_contact_submit, som kan tilgås uden login, læser senere disse data uden at kontrollere, om de kommer fra en betroet eller offentliggjort kilde. Det betyder, at en bruger med lav rettighed kan sætte indhold op, som en helt udenforstående efterfølgende kan udløse gennem den offentlige formular. Sårbarheden findes i alle versioner op til og med 2.0.9.

Det rammer WordPress-websteder, der bruger Page Builder: Pagelayer i version 2.0.9 eller tidligere. Særligt relevant for sider, hvor flere personer kan oprette eller redigere indhold med bidragyder-rettigheder eller derover, for eksempel blogs, nyhedsportaler, kommunale informationssider med flere forfattere eller bureauer, der administrerer kunders sider med delte redaktørkonti.

En bruger med bidragyder-adgang kan oprette en kontaktformular-skabelon, der senere kan udløses af en helt udenforstående via den offentlige formularindsendelse. I praksis kan det bruges til at få webstedets mailfunktion til at sende beskeder med indhold, angriberen kontrollerer, hvilket kan udnyttes til phishing, spam eller til at give indtryk af, at mailen kommer fra virksomhedens egen platform. Kombineret med en anden kendt sårbarhed (CVE-2026-2442) kan angriberen få endnu mere kontrol over, hvad den udgående mail indeholder.

CVSS-scoren er 4,3 ud af 10, hvilket klassificeres som moderat. Angrebet kræver netværksadgang, men også en gyldig konto med mindst bidragyder-rettigheder for at forberede skabelonen, det er altså ikke muligt for en helt anonym angriber at gøre det hele selv. Selve udnyttelsen af den forberedte skabelon kræver derefter ingen brugerinteraktion og ingen login. Fejlen påvirker ikke fortrolighed eller tilgængelighed, kun integriteten af mailindholdet i lav grad. Der er ikke belæg for, at sårbarheden aktivt udnyttes på tidspunktet for offentliggørelsen.

Følgende skridt lukker hullet og begrænser risikoen, mens en rettelse afventes.

1. Opdater Page Builder: Pagelayer til den nyeste version, så snart udvikleren udgiver en rettelse, og tjek pluginnets versionsnummer i WordPress-administrationen.
2. Gennemgå, hvem der har bidragyder-rollen eller højere på jeres WordPress-installationer, og fjern konti, der ikke længere skal have adgang.
3. Deaktiver kontaktformular-funktionen i Pagelayer, hvis den ikke er nødvendig, indtil rettelsen er på plads.
4. Hold øje med udgående mail fra webstedet for uventet indhold eller volumen, der kan tyde på misbrug.
5. Er I ikke selv i stand til at vurdere jeres eksponering eller udrulle opdateringen sikkert, bør I hente hjælp fra en sikkerhedsrådgiver eller jeres webbureau.