CVE-2026-47633: Informationslæk i Cost Management modul
En fejl i Cost Management Interactive Experiences kan afsløre fortrolige data uden login. Sørg for, at opdateringen er anvendt hos jeres leverandør.
Hvad er det?
Cost Management Interactive Experiences er et modul til at følge og analysere virksomhedens omkostninger, ofte en del af en økonomistyrings- eller ERP-løsning. CVE-2026-47633 er en fejl af typen CWE-200, informationsafsløring, hvor systemet uforvarende viser fortrolige oplysninger til brugere, der ikke skulle have adgang til dem. Fejlen kan udnyttes over netværket uden at angriberen skal logge ind eller have en bruger til at klikke på noget.
Hvem rammer det?
Sårbarheden rammer organisationer, der bruger Cost Management Interactive Experiences som del af deres økonomi- eller omkostningsstyring. Det gælder typisk virksomheder og kommuner, der har koblet modulet til et ERP-system eller en cloud-baseret økonomiplatform, og hvor modulet er tilgængeligt via netværk, internt eller eksternt.
Hvad kan ske?
En angriber kan hente fortrolige omkostnings- og økonomidata uden at have adgang til systemet på forhånd. For en dansk virksomhed kan det betyde, at budgetter, leverandørpriser, lønsumsdata eller andre konkurrencekritiske oplysninger kommer i uvedkommendes hænder. Da fejlen ikke giver adgang til at ændre data eller lukke systemet ned, er risikoen primært læk af oplysninger, ikke driftsstop.
Hvor alvorligt er det?
CVSS-score er 7,5 ud af 10, alvorlig. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over netværket, hvilket gør det nemt at automatisere. Kun fortroligheden er påvirket, systemets integritet og drift forbliver intakte. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Følgende trin lukker hullet og reducerer risikoen for datalæk:
- Kontakt jeres leverandør af Cost Management Interactive Experiences og bekræft, at rettelsen til CVE-2026-47633 er rullet ud på jeres installation eller lejemål.
- Gennemgå adgangslogfiler for modulet for at se, om der har været uventede forespørgsler fra ukendte IP-adresser eller brugere.
- Begræns netværksadgangen til modulet, så det kun kan tilgås fra betroede net, mens I afventer bekræftelse af rettelsen.
- Informer relevante medarbejdere i økonomi og indkøb om, at følsomme data kan have været eksponeret, så de kan vurdere konsekvenser for aftaler og priser.
- Dokumenter forløbet, hvis I skal vurdere anmeldelsespligt efter databeskyttelsesreglerne.
- Søg hjælp udefra, hvis I ikke selv kan bekræfte, om rettelsen er anvendt, eller hvis logfiler viser tegn på misbrug.
Bekræft rettelse inden for 14 dage
Vi anbefaler, at I straks kontakter jeres leverandør for at bekræfte, at rettelsen til CVE-2026-47633 er anvendt, da fejlen kan udnyttes uden login. Det er i orden at afvente en formel bekræftelse, hvis modulet kun er tilgængeligt internt og I ikke ser tegn på misbrug i logfilerne. Er modulet tilgængeligt fra internettet, bør I prioritere kontrollen frem for andre opgaver denne uge.
Tidslinje
Konkrete eksempler
Lækagede budgettal hos en dansk produktionsvirksomhed
En mellemstor produktionsvirksomhed bruger Cost Management Interactive Experiences til at følge produktionsomkostninger og leverandørpriser. En ekstern part sender automatiserede forespørgsler til modulet uden at logge ind og henter interne prisdata. Oplysningerne bruges senere af en konkurrent til at underbyde virksomheden i et udbud.
Ofte stillede spørgsmål
Er vores virksomhed ramt af CVE-2026-47633?
I er ramt, hvis I bruger Cost Management Interactive Experiences som del af jeres økonomi- eller ERP-løsning. Kontakt jeres leverandør for at få bekræftet, hvilken version eller udgave I kører, og om rettelsen allerede er anvendt.
Kan vi vente til efter weekenden med at reagere?
Hvis modulet kun er tilgængeligt fra internt netværk og der ikke er tegn på mistænkelig adgang, kan I vente til den næste arbejdsdag. Er modulet eksternt tilgængeligt, bør bekræftelsen fra leverandøren prioriteres hurtigst muligt.
Hvordan tjekker vi, om oplysninger allerede er blevet hentet af en uautoriseret bruger?
Gennemgå adgangslogfiler for modulet for ukendte IP-adresser, usædvanlige forespørgselsmønstre eller adgang uden gyldig login. Har I ikke selv adgang til logfilerne, bør leverandøren kunne bistå med en gennemgang.
Skal vi anmelde det til Datatilsynet?
Det afhænger af, om der er sket faktisk læk af personoplysninger, og om I kan dokumentere det. Find først ud af, om rettelsen var anvendt før sårbarheden blev offentliggjort, og vurder derefter sammen med jeres databeskyttelsesansvarlige, om der er anmeldelsespligt.
Kræver det, at en medarbejder klikker på noget, for at angrebet lykkes?
Nej. Sårbarheden kan udnyttes direkte over netværket uden at nogen bruger skal foretage sig noget, og uden at angriberen behøver at logge ind.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Exposure of sensitive information to an unauthorized actor in Cost Management Interactive Experiences allows an unauthorized attacker to disclose information over a network.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.