CVE-2026-58480: Kritisk fejl i Blocksy Companion Pro
Ukendte angribere kan uploade og køre skadelig kode på hjemmesider med Blocksy Companion Pro. Opdatér til version 2.1.47.
Hvad er det?
Blocksy Companion Pro er et tilføjelsesprogram (plugin) til WordPress, der udvider temaet Blocksy med funktioner som avancerede anmeldelser og brugerdefinerede skrifttyper. En sårbarhed i versioner før 2.1.47 gør det muligt for en angriber uden login at uploade filer til hjemmesiden. Fejlen sidder i funktionen save_attachments, hvor kontrollen af filtypen kan omgås ved at navngive filen med to endelser, for eksempel shell.woff2.php. Filnavnet består den simple tekstkontrol, fordi den kun leder efter delstrengen woff2, men webserveren udfører filen som PHP-kode, fordi den rigtige endelse er .php. Resultatet er, at angriberen kan lægge en fungerende bagdør på hjemmesiden uden at logge ind eller udføre nogen handling, der kræver et menneske på den anden side.
Hvem rammer det?
Sårbarheden rammer alle WordPress-hjemmesider, der bruger pluginnet Blocksy Companion Pro i en version ældre end 2.1.47. Det gælder især sider, hvor funktionerne Advanced Reviews eller Custom Fonts er aktiveret, da uploadfunktionen ligger tilgængelig for alle besøgende uden krav om login. Pluginnet bruges typisk sammen med temaet Blocksy, som er populært blandt danske virksomheder, foreninger og webshops, der selv står for deres WordPress-hjemmeside eller får den driftet af et mindre webbureau.
Hvad kan ske?
En angriber kan uploade en fil, der giver fuld kontrol over hjemmesidens serverkode. Det åbner for at stjæle kundedata, ændre indhold, indsætte skadelig kode til besøgende, eller bruge serveren som afsendelsespunkt for spam og phishing. For en dansk virksomhed betyder det typisk, at hjemmesiden bliver sat i sortliste hos browsere og mailudbydere, at kundedata kan være kompromitteret, og at der skal bruges tid og penge på oprensning og genopbygning af tillid.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedskategori. Angrebet kræver ikke login, ingen brugerhandling og kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen rammer fortrolighed, integritet og driftsstabilitet i fuldt omfang. Der er ikke oplyst om sårbarheden er set udnyttet i praksis, men den tekniske beskrivelse er så detaljeret, at den kan bruges direkte som opskrift af en angriber.
Hvad gør jeg nu?
Følgende handlinger lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér Blocksy Companion Pro til version 2.1.47 eller nyere på alle hjemmesider, der bruger pluginnet.
- Gennemgå uploadmapper på serveren for uventede filer med dobbelt endelse, for eksempel filer der ender på .woff2.php eller lignende kombinationer.
- Tjek serverloggen for POST-forespørgsler mod save_attachments eller Advanced Reviews-funktionen fra ukendte IP-adresser.
- Skift adgangskoder til WordPress-administratorer og databaseadgang, hvis der er tegn på uautoriseret adgang.
- Tag en frisk sikkerhedskopi efter opdateringen, så I har et rent udgangspunkt at gendanne fra.
- Kontakt en sikkerhedsrådgiver, hvis I finder uventede filer, eller hvis hjemmesiden allerede opfører sig unormalt.
Opdatér inden 24 timer
Vi anbefaler, at opdateringen til version 2.1.47 installeres samme dag, den bliver opdaget, da sårbarheden kræver hverken login eller brugerhandling og derfor er nem at udnytte automatisk. Det er kun forsvarligt at vente, hvis pluginnet allerede er afinstalleret eller hjemmesiden ikke er tilgængelig fra internettet. Har I ikke selv overblik over, hvilke plugins der kører på jeres WordPress-sider, anbefaler vi en hurtig gennemgang som fast rutine fremover.
Tidslinje
Konkrete eksempler
Webshop med utilstrækkelig plugin-opdatering
En dansk webshop bruger Blocksy-temaet med Companion Pro-pluginnet til at vise kundeanmeldelser. Ingen har tjekket pluginversionen i flere måneder. En angriber finder sitet via automatisk scanning, uploader en fil med navnet visning.woff2.php gennem anmeldelsesfunktionen, og får dermed adgang til at ændre hjemmesidens kode og læse kundedatabasen.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger den sårbare version?
Log ind i WordPress-administrationen, gå til Plugins, og se versionsnummeret for Blocksy Companion Pro. Er det ældre end 2.1.47, er hjemmesiden sårbar.
Kan vi vente til weekenden med at opdatere?
Det kan vi ikke anbefale. Sårbarheden kræver ikke login og kan udnyttes automatisk af scanningsværktøjer, så tidsvinduet fra offentliggørelse til misbrug kan være meget kort.
Er vi allerede ramt?
Tjek uploadmapper for filer med dobbelt endelse, for eksempel navne der indeholder .woff2.php, og gennemgå serverloggen for uventede forespørgsler mod save_attachments. Findes sådanne filer, bør de fjernes og hjemmesiden gennemgås for yderligere kompromittering.
Skal vi anmelde dette til Datatilsynet?
Kun hvis der er tegn på, at personoplysninger er blevet tilgået eller kompromitteret som følge af sårbarheden. Find først ud af, om hjemmesiden faktisk har været udnyttet, før I vurderer anmeldelsespligten.
Er det nok at opdatere, eller skal vi også skifte adgangskoder?
Opdateringen lukker selve hullet, men hvis I har tegn på, at sårbarheden allerede er udnyttet, bør adgangskoder til WordPress og database også skiftes som en ekstra sikkerhed.
Påvirker det også gratisversionen af Blocksy Companion?
Sårbarheden er beskrevet for Pro-versionen af pluginnet. Kontrollér altid jeres konkrete pluginversion, da funktionerne Advanced Reviews og Custom Fonts er specifikke for Pro-udgaven.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
Blocksy Companion Pro plugin for WordPress before 2.1.47 contains an unauthenticated arbitrary file upload vulnerability that allows attackers to upload executable files by bypassing extension validation in the save_attachments function exposed through the Advanced Reviews feature. Attackers can exploit the Custom Fonts extension’s flawed strpos() substring check by uploading double-extension filenames such as shell.woff2.php, causing the validation to pass on the substring match while the web server executes the file as PHP, achieving remote code execution.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.