CVE-2026-4703: Kritisk fejl i WS Form LITE til WordPress
WS Form LITE til WordPress (CVE-2026-4703) tillader PHP Object Injection uden login. Opdatér pluginet til nyeste version.
Hvad er det?
CVE-2026-4703 er en sårbarhed i WordPress-pluginet WS Form LITE, en drag-and-drop formularbygger. Fejlen opstår ved deserialisering, altså når data fra en formularindsendelse omdannes tilbage til et PHP-objekt uden at blive tjekket ordentligt først. Det gør det muligt for en angriber at sende manipuleret data, som pluginet fejlagtigt behandler som et gyldigt PHP-objekt. Denne type fejl kaldes PHP Object Injection og er registreret som CWE-502.
Hvem rammer det?
Alle websites, der kører WordPress med pluginet WS Form LITE i version 1.10.80 eller ældre. Det gælder både virksomheder og kommuner, der bruger pluginet til kontaktformularer, tilmeldinger eller ansøgningsskemaer på deres hjemmeside.
Hvad kan ske?
Sårbarheden i sig selv kan ikke misbruges direkte, fordi WS Form LITE ikke indeholder den kode, der skal til for at udnytte det indsprøjtede objekt, en såkaldt POP-kæde. Men er der installeret et andet plugin eller tema på samme website, som indeholder en sådan kæde, kan en angriber slette filer, hente følsomme data som kundeoplysninger eller adgangskoder, eller i værste fald køre vilkårlig kode på serveren.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ikke login, kan udføres over internettet og kræver ingen handling fra en bruger på sitet. Det eneste, der begrænser det umiddelbare farepotentiale, er, at der ikke er fundet en kendt POP-kæde i selve pluginet. Risikoen stiger markant, hvis sitet også kører andre plugins eller temaer med kendte svagheder.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser risikoen, mens I venter på en opdatering.
- Opdatér WS Form LITE til en version nyere end 1.10.80 via WordPress-administrationen.
- Gennemgå listen over installerede plugins og temaer, og fjern dem, I ikke bruger. Færre komponenter betyder færre muligheder for en POP-kæde.
- Sørg for, at alle øvrige plugins og temaer er opdateret til seneste version.
- Tjek serverlogs for usædvanlige formularindsendelser eller fejlmeddelelser omkring deserialisering.
- Overvej en webapplikationsfirewall, hvis I ikke kan opdatere pluginet med det samme.
- Kontakt jeres webbureau eller en sikkerhedsrådgiver, hvis I ikke selv har mulighed for at opdatere pluginet eller vurdere risikoen fra andre installerede komponenter.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer WS Form LITE med det samme, da sårbarheden er kritisk og kan angribes uden login. Det er ikke forsvarligt at vente til en planlagt vedligeholdelsesrunde, fordi angrebsfladen er hele internettet. Har I mange plugins installeret, bør I samtidig få lavet et tjek af, om nogen af dem indeholder en POP-kæde, der kan gøre sårbarheden aktivt udnyttelig.
Tidslinje
Konkrete eksempler
Kontaktformular på en dansk håndværkervirksomheds website
En mindre dansk håndværkervirksomhed bruger WS Form LITE til kontaktformularen på deres website. Websitet kører også et ældre tema, der ved en fejl indeholder en POP-kæde. En angriber sender en manipuleret formularindsendelse og opnår adgang til at læse følsomme filer på serveren, herunder databaseoplysninger. Havde pluginet været opdateret, ville angrebet være stoppet ved deserialiseringen.
Ofte stillede spørgsmål
Er vi ramt af CVE-2026-4703?
I er ramt, hvis jeres WordPress-website bruger pluginet WS Form LITE i version 1.10.80 eller ældre. Tjek versionen under Plugins i WordPress-administrationen.
Hvordan tjekker vi, om vi er sårbare?
Log ind i WordPress, gå til Plugins, og find WS Form LITE. Står der en version på 1.10.80 eller lavere, skal pluginet opdateres.
Kan vi vente med opdateringen til weekenden?
Vi anbefaler ikke det. Sårbarheden kan udnyttes uden login og uden brugerinteraktion, og det er ukendt, om der findes en POP-kæde i jeres øvrige plugins, som gør angrebet fuldt funktionelt.
Skal vi anmelde hændelsen, hvis vi bliver ramt?
Hvis I opdager tegn på misbrug, hvor persondata er blevet tilgået eller lækket, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen. Kontakt jeres databeskyttelsesrådgiver eller en sikkerhedsrådgiver for en konkret vurdering.
Er sårbarheden aktivt udnyttet?
Der er ikke offentliggjort tegn på aktiv udnyttelse pr. offentliggørelsesdatoen. Risikoen afhænger af, om der findes en udnyttelig kæde i andre komponenter på jeres website.
Hvad koster det at vente med at opdatere?
Jo længere pluginet forbliver uopdateret, jo længere er websitet udsat for angreb, der kan lede til filsletning, datatyveri eller fuld overtagelse af serveren, hvis en udnyttelig kæde findes i andre plugins eller temaer.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The WS Form LITE – Drag & Drop Contact Form Builder plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 1.10.80 via deserialization of untrusted input from form submission meta values. This makes it possible for unauthenticated attackers to inject a PHP Object. No known POP chain is present in the vulnerable software, which means this vulnerability has no impact unless another plugin or theme containing a POP chain is installed on the site. If a POP chain is present via an additional plugin or theme installed on the target system, it may allow the attacker to perform actions like delete arbitrary files, retrieve sensitive data, or execute code depending on the POP chain present.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.