CVE-2026-3297: XSS-fejl i Pagelayer til WordPress
Fejl i Pagelayer-plugin til WordPress gør det muligt at indsætte skadelig kode i sider. Opdatér plugin til nyeste version.
Hvad er det?
Sårbarheden CVE-2026-3297 findes i Page Builder: Pagelayer, et populært drag-and-drop-plugin til WordPress. Fejlen er en stored cross-site scripting (XSS), hvor ondsindet kode gemmes på siden og køres automatisk i browseren hos alle, der besøger den. Problemet sidder i Anchor-blokken, hvor plugin’et ikke renser input ordentligt, før det gemmes og vises igen. Det kræver, at man er logget ind med mindst bidragyder-rolle (contributor) for at kunne indsætte koden, men når først den er gemt, rammer den alle besøgende uden yderligere handling fra deres side.
Hvem rammer det?
Alle WordPress-sites, der bruger Page Builder: Pagelayer i version 2.0.9 eller ældre, er berørt. Det gælder især sites, hvor flere personer har adgang med bidragyder-rolle eller højere, for eksempel eksterne skribenter, praktikanter eller freelancere, der lægger indhold op via Pagelayers Anchor-blok.
Hvad kan ske?
En bruger med bidragyder-adgang kan indsætte et script i en side, som derefter køres i browseren hos alle, der besøger den, herunder redaktører og administratorer. Det kan bruges til at stjæle login-sessioner, ændre indhold eller i sidste ende få kontrol over hele WordPress-installationen, hvis en administrator rammes.
Hvor alvorligt er det?
CVSS-scoren er 6,4 af 10, moderat risiko. Angrebet kræver, at angriberen allerede har en konto med bidragyder-rettigheder på sitet, så det er ikke muligt at udnytte fejlen udefra uden adgang. Til gengæld kræver det ingen handling fra det offer, der senere besøger den inficerede side. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser risikoen, mens I venter på opdatering:
- Opdatér Page Builder: Pagelayer til en version nyere end 2.0.9 via WordPress-administrationen.
- Gennemgå, hvem der har bidragyder-rolle eller højere, og fjern adgang for konti, der ikke længere har brug for den.
- Tjek eksisterende sider oprettet med Anchor-blokken for uventet eller skjult kode.
- Overvej at kræve redaktørgodkendelse af indhold fra bidragydere, indtil opdateringen er installeret.
- Er I i tvivl om, hvorvidt sitet allerede er ramt, eller mangler I ressourcer til at gennemgå indholdet, bør I hente hjælp fra en WordPress-sikkerhedsspecialist.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer Pagelayer-plugin’et hurtigst muligt, da fejlen er nem at udnytte for enhver, der har fået tildelt en bidragyderkonto. Det er acceptabelt at vente et par dage, hvis I samtidig begrænser, hvem der kan oprette og redigere sider, men vi vil ikke anbefale at lade det stå åbent i flere uger.
Tidslinje
Konkrete eksempler
Freelanceskribent misbruger bidragyderadgang
En dansk virksomhed bruger flere freelanceskribenter til at lægge blogindlæg op via WordPress med Pagelayer-plugin’et. En af skribenterne indsætter et script i Anchor-blokken på en side. Da en redaktør senere gennemgår siden for at godkende den, køres scriptet i redaktørens browser og stjæler dennes login-session, hvorefter angriberen kan logge ind som redaktør.
Ofte stillede spørgsmål
Er vores WordPress-site ramt?
I er ramt, hvis I bruger Page Builder: Pagelayer i version 2.0.9 eller ældre. Tjek versionen under Plugins i WordPress-administrationen.
Hvordan tjekker vi, om nogen har udnyttet fejlen?
Gennemgå sider, der er lavet med Anchor-blokken, for uventet HTML eller script-kode, og kig i loggen for aktivitet fra konti med bidragyder-rolle.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I i mellemtiden begrænser, hvem der kan oprette eller redigere sider, og undgår at give nye brugere bidragyder-adgang.
Skal vi anmelde hændelsen til nogen?
Kun hvis I finder tegn på, at fejlen faktisk er blevet udnyttet, og persondata er kompromitteret. Så skal I vurdere anmeldepligt efter databeskyttelsesreglerne.
Rammer det også vores kunder eller besøgende på sitet?
Ja, koden køres i browseren hos alle, der besøger den inficerede side, ikke kun hos administratorer.
Hvad hvis vi ikke selv bruger bidragyder-roller?
Så er risikoen lav, men det er stadig værd at opdatere plugin’et, da rolletildelinger kan ændre sig over tid.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Page Builder: Pagelayer – Drag and Drop website builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Anchor block in versions up to, and including, 2.0.9 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.