CVE-2026-6070: Kritisk filsletningsfejl i WP-BusinessDirectory
Kritisk fejl i WordPress-plugin’et WP-BusinessDirectory (CVE-2026-6070) lader angribere uden login slette filer på serveren. Opdatér plugin’et til nyeste version.
Hvad er det?
CVE-2026-6070 er en sårbarhed af typen path traversal, hvor et program ikke tjekker et filnavn ordentligt og derfor kan narres til at pege på filer uden for den tilladte mappe. Fejlen findes i WordPress-plugin’et WP-BusinessDirectory, i den funktion der fjerner uploadede filer. Fordi plugin’et ikke fjerner tegnsekvenser som ‘../’ fra det filnavn, brugeren angiver, kan en angriber få webserveren til at slette vilkårlige filer, herunder wp-config.php, som indeholder adgangskoder til databasen.
Hvem rammer det?
Sårbarheden rammer alle WordPress-websteder, der bruger plugin’et WP-BusinessDirectory i version 4.0.1 eller ældre. Plugin’et bruges typisk af virksomheder og foreninger til at drive et erhvervskatalog eller en firmaoversigt på deres hjemmeside. Er plugin’et installeret og aktivt, er webstedet sårbart, uanset om der er brugere logget ind eller ej.
Hvad kan ske?
En angriber kan uden at logge ind slette centrale filer på webserveren, for eksempel wp-config.php. Det gør, at hjemmesiden holder op med at virke, og at virksomheden i praksis mister adgang til sit eget WordPress-site, indtil filen genskabes fra en sikkerhedskopi. I værste fald kan sletning af andre filer bruges til at bane vejen for yderligere angreb, hvis serveren derefter kører med fejlkonfiguration eller nedsat sikkerhed.
Hvor alvorligt er det?
CVSS-scoren er 9,1 ud af 10, hvilket er kritisk. Angrebet kræver hverken login eller nogen handling fra en bruger på webstedet, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen rammer datas integritet og webstedets tilgængelighed hårdt, mens der ikke er risiko for, at angriberen kan læse fortrolige data direkte gennem denne sårbarhed. Der er ikke rapporteret aktiv udnyttelse i den offentlige beskrivelse, men den tekniske detaljegrad gør, at et angreb kan udvikles hurtigt.
Hvad gør jeg nu?
Sårbarheden lukkes ved at opdatere plugin’et. Følg disse trin:
- Opdatér WP-BusinessDirectory til den nyeste version, hvor fejlen er rettet.
- Kan I ikke opdatere med det samme, så deaktivér plugin’et midlertidigt, indtil opdateringen er på plads.
- Tjek om wp-config.php og andre kritiske filer stadig findes og er intakte.
- Gennemgå seneste sikkerhedskopi af webstedet, og bekræft at den kan genskabes hurtigt, hvis en fil mangler.
- Gennemgå webserverens logfiler for kald til upload.remove eller mistænkelige forespørgsler med ‘../’ i parametre.
- Er I i tvivl om, hvorvidt jeres site allerede er ramt, eller mangler I ressourcer til at gennemgå logs og gendanne data, så bør I hente hjælp udefra.
Opdatér plugin inden for 48 timer
Vi anbefaler, at I opdaterer WP-BusinessDirectory med det samme, da sårbarheden kan udnyttes uden login og uden brugerinteraktion. Er opdatering ikke mulig i dag, bør plugin’et deaktiveres, indtil det kan opdateres. Det er kun forsvarligt at vente, hvis plugin’et allerede er afinstalleret eller aldrig har været aktivt på jeres WordPress-installation.
Tidslinje
Konkrete eksempler
Erhvervsforening mister adgang til sin hjemmeside
En dansk erhvervsforening bruger WP-BusinessDirectory til at vise medlemsvirksomheder på sin hjemmeside. En angriber sender en forespørgsel, der sletter wp-config.php, hvorefter hjemmesiden går ned og viser en fejlbesked. It-ansvarlige må genskabe filen fra en sikkerhedskopi, før siden virker igen, og bruger flere timer på fejlfinding og gendannelse.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vi bruger WP-BusinessDirectory?
Log ind i WordPress-administrationen, gå til Plugins, og se om WP-BusinessDirectory står på listen. Notér versionsnummeret, og sammenhold det med den version, hvor fejlen er rettet.
Kan vi vente med opdateringen til weekenden?
Vi anbefaler ikke det. Angrebet kræver hverken login eller brugerhandling, så et sårbart site kan rammes på et vilkårligt tidspunkt. Kan opdateringen ikke ske med det samme, bør plugin’et deaktiveres i mellemtiden.
Hvordan ved vi, om vi allerede er blevet ramt?
Tjek om centrale filer som wp-config.php stadig findes på serveren, og gennemgå webserverens logfiler for kald til adressen med task=upload.remove samt forekomster af ‘../’ i forespørgsler. Manglende filer eller uforklarlige nedbrud på siden er tegn på, at sårbarheden kan være udnyttet.
Skal vi anmelde hændelsen, hvis vi har været ramt?
Er personoplysninger gået tabt eller blevet utilgængelige som følge af sletningen, kan hændelsen udløse pligt til at anmelde til Datatilsynet efter databeskyttelsesreglerne. Vi anbefaler at vurdere det konkret sammen med jeres databeskyttelsesrådgiver.
Er vores hjemmeside i fare, selvom vi ikke bruger erhvervskatalog-funktionen aktivt?
Ja. Så længe plugin’et er installeret og aktiveret i WordPress, er den sårbare funktion tilgængelig, uanset om I reelt bruger katalogfunktionen på jeres hjemmeside.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The WP-BusinessDirectory plugin for WordPress is vulnerable to Unauthenticated Arbitrary File Deletion in versions up to and including 4.0.1. This is due to insufficient path validation in the remove() method of the JBusinessDirectoryControllerUpload class. The task=upload.remove endpoint is accessible without authentication via the plugin’s frontend routing system. The _filename parameter is accepted with RAW filter (no sanitization), and the helper function makePathFile() only normalizes directory separator characters without stripping path traversal sequences (../). When combined with the _path_type=2 parameter, which sets the base directory to the plugin’s site folder, an attacker can supply a _filename value containing ../ sequences to traverse outside the plugin directory and call PHP’s unlink() on arbitrary files — including wp-config.php, wp-config-backup.php, or other critical server files accessible to the web server process. This makes it possible for unauthenticated attackers to delete arbitrary files on the server.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.