CVE-2026-3141: Kritisk fejl i FormGent til WordPress

CVE-2026-3141 er en sårbarhed i WordPress-pluginet FormGent, som bruges til at bygge formularer på hjemmesider. Fejlen ligger i en REST API-endpoint, en adresse hjemmesiden bruger til at udveksle data med browseren, som er sat op uden nogen kontrol af, om den, der kalder den, er logget ind. Det betyder, at hvem som helst på internettet kan sende kommandoer til endepunktet og få den til at slette filer på serveren. På Linux-servere, hvor mappen til vedhæftede filer ikke findes endnu, kan en angriber desuden omgå beskyttelsen mod path traversal, en teknik hvor man bevæger sig ud af den tilsigtede mappe, og derved slette filen wp-config.php, som indeholder sitets database-loginoplysninger.

Sårbarheden rammer alle WordPress-hjemmesider, der bruger FormGent-pluginet i version 1.9.2 eller ældre. Det gælder danske virksomheder, foreninger og kommuner, der bruger pluginet til kontaktformularer, tilmeldinger eller lignende på deres WordPress-site. Sårbarheden kræver ikke login og kan udnyttes af hvem som helst, der kan sende forespørgsler til sitet.

En angriber kan slette filen wp-config.php uden at være logget ind. Når den fil er væk, tror WordPress, at sitet er nyinstalleret, og viser den almindelige installationsguide til den næste besøgende. Angriberen kan derefter oprette en ny database-forbindelse og en ny administratorbruger og dermed få fuld kontrol over sitet. I praksis betyder det, at en dansk virksomheds hjemmeside kan blive overtaget, indholdet ændret, eller sitet brugt til at sprede skadelig kode til besøgende.

Sårbarheden har en CVSS-score på 9,1 af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen brugerhandling fra en administrator og kan udføres over internettet med lav teknisk kompleksitet. Der er ikke rapporteret fortrolighedsbrud, altså ingen direkte dataadgang, men både integritet og driftsstabilitet er ramt hårdt, da filer kan slettes og sitet i værste fald overtages helt. Der er ikke offentligt kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, men den lette udnyttelse gør det til en sårbarhed, der bør lukkes hurtigt.

Følgende trin bør gennemføres i denne rækkefølge:

1. Opdater FormGent-pluginet til den nyeste version via WordPress-administrationen. Det lukker den manglende adgangskontrol på REST API-endepunktet.
2. Kan pluginet ikke opdateres med det samme, deaktiveres det, til opdateringen kan gennemføres.
3. Kontroller, om filen wp-config.php og mappen wp-content/uploads/formgent findes og ikke er blevet ændret eller slettet.
4. Tag en frisk sikkerhedskopi af hele sitet og databasen, når opdateringen er gennemført.
5. Gennemgå sitets brugerliste for uventede nye administratorer, hvis I er i tvivl om, sitet allerede har været udsat for angreb.
6. Kontakt en it-sikkerhedsrådgiver, hvis wp-config.php allerede er slettet, eller I finder ukendte administratorbrugere, da det kan kræve en genopbygning af sitet.