CVE-2026-34100: Kritisk SQL-fejl i Guardian language-system
Kritisk SQL-sårbarhed i Guardian language-system giver adgang til hele databasen. Begræns adgang til media.php og kontakt leverandøren.
Hvad er det?
CVE-2026-34100 er en SQL-indsprøjtning (SQL injection), altså en fejl hvor et program sender brugerens input direkte ind i en databasekommando uden at rense det først. Fejlen sidder i filen media.php i Guardian language-system, hvor parameteren id fra en almindelig webadresse sættes direkte ind i en SQL-forespørgsel. En angriber kan indsætte egen databasekode i stedet for et almindeligt id og dermed få systemet til at afsløre indhold fra databasen, herunder filnavne, ejerskab og oplysninger markeret som private.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Guardian language-system, og specifikt den funktion, der håndterer filvisning via media.php. NVD angiver ikke berørte versionsnumre, så alle installationer bør betragtes som potentielt ramt, indtil leverandøren har bekræftet andet. Det gælder både kommuner og private virksomheder, der bruger systemet til flersproget indhold og filhåndtering.
Hvad kan ske?
En angriber kan hente hele indholdet af files-tabellen i databasen, herunder filnavne, filtyper, ejeroplysninger og markeringen private, som viser hvilke filer der ikke bør være offentligt tilgængelige. Afhængig af databasens opsætning kan angrebet i praksis udvides til at læse andre tabeller, herunder brugeroplysninger og adgangskoder, hvis de ligger i samme database. Det kan føre til brud på fortrolighed, som skal vurderes i forhold til GDPR, og kan give angriberen viden, der bruges til yderligere angreb.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen brugerinteraktion og kan udføres over netværket med lav teknisk kompleksitet. NVD’s egen vektor angiver, at der ikke kræves login (PR:N), mens selve beskrivelsen omtaler en autentificeret angriber. Uanset hvilken tolkning der gælder, er konsekvensen den samme: fuld læseadgang til databasens indhold, og risikoen bør behandles som kritisk, indtil leverandøren har afklaret adgangskravet.
Hvad gør jeg nu?
Der findes endnu ingen officiel rettelse fra leverandøren. Indtil den er tilgængelig, bør følgende gøres:
- Begræns eller bloker adgang til media.php udefra, for eksempel via firewall eller webserverregler, indtil parameteren id valideres korrekt.
- Indsæt en midlertidig filtrering på id-parameteren, så kun tal accepteres, hvis I selv har adgang til koden.
- Aktivér eller opdatér regler i en webapplikationsfirewall (WAF), der blokerer typiske SQL-indsprøjtningsmønstre.
- Gennemgå adgangslogs for media.php for usædvanlige forespørgsler med tegn som anførselstegn, UNION eller SELECT i id-parameteren.
- Kontakt leverandøren af Guardian language-system for status på en rettelse, og abonnér på deres sikkerhedsopdateringer.
- Har I ikke selv ressourcer til at vurdere kodeændringer eller WAF-opsætning, bør I hente ekstern sikkerhedsassistance til at lukke hullet forsvarligt.
Begræns adgang nu, patch følger
Vi anbefaler, at adgangen til media.php begrænses med det samme, da der endnu ikke findes en officiel rettelse. Det er ikke forsvarligt at vente til en fast opdateringscyklus, fordi angrebet kan udføres uden avancerede værktøjer. Har I ikke mulighed for selv at rette koden eller opsætte kompenserende kontroller, bør I hente ekstern hjælp til at lukke hullet, indtil leverandørens rettelse foreligger.
Tidslinje
Konkrete eksempler
Kommunal filoversigt eksponeres
En dansk kommune bruger Guardian language-system til at håndtere flersprogede dokumenter på sin hjemmeside. En angriber ændrer id-parameteren i webadressen til media.php og udnytter fejlen til at hente hele files-tabellen, herunder filer markeret som private. Kommunen opdager først problemet, da uvedkommende dokumenter dukker op andre steder, og må efterfølgende gennemgå logs for at afklare omfanget.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis jeres organisation bruger Guardian language-system og filen media.php er tilgængelig fra internettet eller internt netværk, er I potentielt ramt. Tjek med jeres systemansvarlige, om produktet er i brug, og om media.php eksponerer id-parameteren i webadressen.
Hvordan tjekker vi, om vi er sårbare?
Se på webadressen til media.php og undersøg, om id-parameteren sendes direkte til en SQL-forespørgsel uden validering. Gennemgå også serverlogs for tegn på forsøg med anførselstegn eller SQL-nøgleord i id-feltet. Er I i tvivl, bør en sikkerhedskonsulent teste funktionen.
Kan vi vente til weekenden med at reagere?
Nej. Sårbarheden har en kritisk CVSS-score på 9,8 og kan udnyttes uden brugerinteraktion. Vi anbefaler at begrænse adgangen til media.php samme dag, sårbarheden bliver kendt hos jer, og ikke vente til en planlagt vedligeholdelsesrunde.
Kræver angrebet, at man er logget ind?
Der er uoverensstemmelse mellem NVD’s tekniske vektor, som angiver ingen adgangskrav, og den skriftlige beskrivelse, som nævner en autentificeret angriber. Indtil leverandøren afklarer dette, bør I behandle sårbarheden, som om den kan udnyttes uden login.
Skal vi anmelde hændelsen til Datatilsynet?
Kun hvis I finder bevis for, at data faktisk er blevet udtrukket fra jeres database. Uden tegn på misbrug er det en sårbarhed, der skal lukkes, ikke nødvendigvis et anmeldelsespligtigt databrud. Gennemgå logs for at afklare, om udnyttelse har fundet sted.
Hvornår kommer der en officiel rettelse?
Det er ikke oplyst i NVD-data på offentliggørelsestidspunktet. Følg leverandørens kanaler for opdateringer, og anvend de midlertidige tiltag, indtil en rettelse foreligger.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Guardian language-system passes the id GET parameter directly into an unsanitized SQL query in media.php (line 17): SELECT id, filename, extension, type, duration, owner, private FROM files where id = ‘”.$_GET[‘id’].”‘. An authenticated attacker can perform error-based SQL injection to extract database contents.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.