CVE-2026-34099: Kritisk SQL-sårbarhed i Guardian

CVE-2026-34099 er en sårbarhed i jobsystemet Guardian language-system, hvor filen job_info.php tager id-parameteren fra webadressen og sætter den direkte ind i en databasekommando uden at rense den først. Det kaldes SQL-indsprøjtning: en angriber kan skrive sin egen databasekommando ind i stedet for et almindeligt id-nummer og dermed få systemet til at udføre kommandoer, det ikke var tiltænkt. Fejlen kræver ingen brugernavn eller adgangskode, og angriberen kan bruge fejlmeddelelser fra systemet til gradvist at trække oplysninger ud af databasen, herunder version, brugernavne og indhold af tabeller.

Sårbarheden rammer virksomheder og organisationer, der bruger Guardian language-system, særligt jobportaler og karrieresider med et jobmodul, der viser jobopslag via job_info.php. Der er ikke oplyst konkrete versionsnumre, så vi må gå ud fra, at alle installationer med den nævnte kode er berørt, indtil leverandøren siger andet.

En angriber kan læse hele databasen, herunder ansøgeres personoplysninger, cv-data, brugerkonti og adgangskodehash. I værste fald kan oplysningerne bruges til identitetstyveri, videresalg eller afpresning. For en dansk virksomhed betyder det en potentiel brist på persondata, der skal vurderes efter databeskyttelsesreglerne, og et tab af tillid hos jobansøgere og kunder.

CVSS-score er 9,8 ud af 10, hvilket er kritisk. Angrebet kan udføres over internettet, kræver ikke login, kræver ingen handling fra en bruger, og kan skade fortrolighed, integritet og tilgængelighed af data i høj grad. Der er ikke rapporteret aktiv udnyttelse, men den offentliggjorte beskrivelse indeholder den præcise kode og linje, hvor fejlen findes, hvilket gør det trivielt for en angriber at bygge et angreb.

Vi anbefaler følgende skridt i denne rækkefølge:

1. Ret koden i job_info.php, så id-parameteren renses eller sendes som en forberedt databaseforespørgsel (prepared statement), eller opdatér til en version fra leverandøren, hvis den findes.
2. Kan I ikke rette koden med det samme, så bloker eller begræns adgang til job_info.php via firewall eller webserverregler, indtil rettelsen er på plads.
3. Gennemgå webserverens logfiler for usædvanlige forespørgsler til id-parameteren, herunder tegn som anførselstegn, UNION og SELECT.
4. Skift adgangskoder og API-nøgler, der er gemt i den samme database, hvis I finder tegn på uautoriseret adgang.
5. Vurder, om der er sket en brist på persondata, og om det skal anmeldes efter databeskyttelsesreglerne.
6. Kontakt en sikkerhedsrådgiver, hvis I ikke selv har kompetencerne til at rette koden eller undersøge omfanget af et muligt angreb.