CVE-2026-70552: Login-omgåelse i MaxSite CMS
MaxSite CMS 109.5 og ældre lader uautoriserede tilgå administrative AJAX-funktioner uden login. Opdatér til nyeste version.
Hvad er det?
CVE-2026-70552 er en sårbarhed i MaxSite CMS, et content management system til opbygning af hjemmesider. Fejlen ligger i systemets AJAX-dispatcher, den komponent der dirigerer AJAX-forespørgsler, det vil sige asynkrone baggrundsanmodninger fra browseren, til de rigtige funktioner i koden. Ved at sende en vilkårlig X-Requested-With-header sammen med en base64-kodet sti til en administrativ ajax-fil, kan en angriber omgå login og tilgå funktioner, der normalt kun er tilgængelige for administratorer. Fejlen er klassificeret som CWE-306, mangelfuld autentificering af kritiske funktioner. I praksis betyder det, at hele MaxSite CMS’ plugin-arkitektur er eksponeret for uautoriseret adgang, fordi dispatcher-fejlen rammer alle *-ajax.php-filer i kodebasen, ikke kun en enkelt funktion.
Hvem rammer det?
Sårbarheden rammer alle installationer af MaxSite CMS version 109.5 og tidligere versioner. Det gælder danske virksomheder, foreninger og kommunale enheder, der bruger MaxSite CMS til hjemmeside eller intranet, herunder løsninger med afstemningsplugins (poll) og andre administrative AJAX-udvidelser. Er jeres hjemmeside bygget på MaxSite CMS, er den ramt, uanset om I selv har udviklet plugins eller bruger de medfølgende.
Hvad kan ske?
En angriber kan uden brugernavn og kodeord tilgå administrative funktioner i jeres MaxSite CMS-installation. Konkret kan det bruges til at manipulere afstemninger og stemmetal, men fordi dispatcher-fejlen rammer alle admin-only ajax-filer i plugin-træet, kan konsekvensen være langt større, afhængigt af hvilke plugins der er installeret. Det kan gå fra hærværk med falske afstemningsresultater til, at angriberen får adgang til funktioner, der ændrer indhold, brugere eller indstillinger på sitet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Sårbarheden kræver ikke login, PR:N, og ingen brugerhandling, UI:N, angriberen skal blot sende en forespørgsel over netværket. Kompleksiteten er lav, AC:L, hvilket betyder, at angrebet er nemt at automatisere. Fortrolighed, integritet og tilgængelighed er alle vurderet til høj påvirkning, C:H/I:H/A:H. Der er ikke oplyst om aktiv udnyttelse i den offentliggjorte information, men den lave kompleksitet og det manglende krav om autentificering gør sårbarheden attraktiv at udnytte automatisk og i stor skala.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser skaden:
- Opdatér MaxSite CMS til en version nyere end 109.5, hvor dispatcher-fejlen er rettet. Det er den eneste handling, der reelt lukker hullet.
- Kan I ikke opdatere med det samme, så bloker eller begræns adgangen til *-ajax.php-filer på webserverniveau, for eksempel via en firewallregel eller reverse proxy, der kun tillader adgang fra betroede IP-adresser.
- Gennemgå logfiler for usædvanlige forespørgsler til AJAX-endpoints med X-Requested-With-header og base64-kodede stier, for at afklare om sårbarheden allerede er udnyttet.
- Skift adgangskoder for administratorer og gennemgå brugerlisten og pluginindstillinger for uautoriserede ændringer, hvis I finder tegn på misbrug.
- Sæt en webapplikationsfirewall op, hvis det ikke allerede er tilfældet, som ekstra lag mod lignende dispatcher-angreb.
- Kontakt os eller en anden sikkerhedsleverandør, hvis I ikke selv har ressourcer til at opdatere eller undersøge logfiler, eller hvis I finder tegn på kompromittering.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer MaxSite CMS til nyeste version så hurtigt som muligt, da sårbarheden kræver hverken login eller brugerhandling og kan udnyttes automatisk. Det er kun forsvarligt at vente, hvis I har isoleret AJAX-dispatcheren bag en streng adgangsbegrænsning, og selv da bør opdateringen ske inden for få dage. Er I i tvivl om, hvordan I tjekker jeres version eller logfiler, hjælper vi gerne med en hurtig vurdering.
Tidslinje
Konkrete eksempler
Manipuleret afstemning på en kommunal hjemmeside
En dansk kommune bruger MaxSite CMS til en borgerundersøgelse med et afstemningsplugin. En angriber sender en forespørgsel med en falsk X-Requested-With-header og en base64-kodet sti til poll-ajax-filen, uden at logge ind. Resultatet er, at stemmetallene manipuleres, og kommunen må lukke undersøgelsen og forklare borgerne, hvorfor resultatet ikke kan bruges.
Ofte stillede spørgsmål
Hvordan finder vi ud af, om vores hjemmeside er ramt?
Tjek versionsnummeret i MaxSite CMS’ administrationspanel eller systeminformation. Er versionen 109.5 eller ældre, er installationen sårbar, uanset om der er installeret ekstra plugins.
Kan vi vente til efter weekenden med at opdatere?
Nej. Sårbarheden kræver ikke login og ingen brugerhandling, og angrebet er nemt at automatisere. Vi anbefaler at opdatere samme dag, I bliver bekendt med sårbarheden.
Skal vi anmelde det til Datatilsynet?
Kun hvis I konstaterer, at personoplysninger er blevet tilgået eller ændret som følge af sårbarheden. Gennemgå logfiler for at afklare, om der er sket misbrug, før I tager stilling til anmeldelsespligt.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt bekræftet udnyttelse på offentliggørelsestidspunktet. Det ændrer ikke ved, at sårbarheden bør rettes, da den er let at udnytte automatisk.
Hvad koster det at vente med at opdatere?
I risikerer, at afstemninger, indhold eller administrative funktioner på jeres site manipuleres uden jeres viden, samt at angrebet spreder sig til andre plugins, der bruger samme AJAX-dispatcher.
Rammer det også vores plugins?
Ja. Fejlen ligger i selve dispatcheren, og den rammer alle admin-only ajax-filer i plugin-træet, ikke kun kernefunktioner i MaxSite CMS.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
MaxSite CMS 109.5 and earlier contains an authentication bypass vulnerability in the AJAX dispatcher that allows unauthenticated attackers to access admin-gated endpoints by supplying any X-Requested-With header and requesting a base64-encoded path resolving to any *-ajax.php file in the codebase. Attackers can exploit this dispatcher bypass to reach privileged plugin endpoints without credentials, enabling actions such as manipulating poll states and vote counts, and amplifying the impact of any dangerous operation performed by admin-only ajax files across the plugin tree.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.