CVE-2026-75106: Kritisk fejl i OpnForm-formularer
Alvorlig fejl i OpnForm gør det muligt uden login at gætte og læse eller ændre andres formularsvar. Opdatér nu.
Hvad er det?
OpnForm er et open source-værktøj til at bygge og udsende formularer, som mange virksomheder bruger til kundehenvendelser, ansøgninger eller borgerundersøgelser. Til at beskytte det unikke link, som gør et formularsvar redigerbart, bruger OpnForm et bibliotek kaldet Hashids, der omdanner et løbenummer til en kort kode. Fejlen består i, at OpnForm som standard bruger en tom, forudsigelig hemmelig værdi (salt) til denne omdannelse. Det betyder, at en angriber kan beregne koderne selv, uden at kende dem i forvejen, og dermed hente eller overskrive andre respondenters svar.
Hvem rammer det?
Sårbarheden rammer virksomheder og kommuner, der selv hoster OpnForm og bruger standardopsætningen uden en tilpasset Hashids-saltværdi. Alle formularer, hvor besvarelser kan redigeres via link, er berørt. Der er ikke oplyst specifikke versionsnumre i den offentlige beskrivelse, så alle installationer bør kontrolleres, indtil der er bekræftet en opsætning med unik saltværdi.
Hvad kan ske?
En angriber kan uden login læse fulde formularsvar fra andre, herunder personoplysninger, CPR-numre, ansøgninger eller kundedata, hvis disse indgår i formularen. Angriberen kan også overskrive eksisterende svar med falske data via svar-endpointet. For en dansk virksomhed betyder det risiko for databrud med persondata og mulig anmeldelsespligt til Datatilsynet, samt risiko for manipulerede sagsdata.
Hvor alvorligt er det?
CVSS-score er 9,1 ud af 10, kritisk. Angrebet kræver ingen login og ingen handling fra brugeren, og det kan udføres over internettet med lav teknisk kompleksitet. Fortrolighed rammes hårdt, fordi angriberen kan læse andres data, og integritet rammes hårdt, fordi svar kan ændres. Systemets tilgængelighed påvirkes ikke. Der er ikke oplyst aktiv udnyttelse i naturen på offentliggørelsesdatoen, men sårbarheden er let at udnytte, når den er kendt.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser skaden, hvis det allerede er udnyttet.
- Opdatér OpnForm til den nyeste version, hvor Hashids-saltværdien genereres unikt og tilfældigt pr. installation.
- Kan I ikke opdatere med det samme, så sæt selv en lang, tilfældig HASHIDS_SALT-værdi i konfigurationen og genstart tjenesten.
- Gennemgå logfiler for usædvanlig trafik mod svar-endpointet, især mange sekventielle forespørgsler på kort tid.
- Vurder, om der er sket adgang til personoplysninger, og afklar om det udløser anmeldelsespligt til Datatilsynet.
- Informer respondenter, hvis der er begrundet mistanke om, at deres svar er blevet læst eller ændret.
- Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere opsætningen eller vurdere omfanget af eksponerede data.
Opdatér inden for 48 timer
Vi anbefaler, at I opdaterer OpnForm og sætter en unik, tilfældig saltværdi hurtigst muligt, da fejlen kræver hverken login eller brugerhandling og derfor er let at udnytte for en udenforstående. Det er kun i orden at vente, hvis formularerne ikke indeholder personoplysninger eller forretningskritiske data, og I i mellemtiden overvåger adgangen til svar-endpointet.
Tidslinje
Konkrete eksempler
Kommunal borgerundersøgelse eksponeret
En dansk kommune bruger OpnForm til en borgerundersøgelse, hvor respondenter kan redigere deres svar via et link. En udenforstående gennemgår systematisk fortløbende id’er og beregner adgangskoder til andre borgeres besvarelser, som indeholder navn og adresse. Kommunen opdager først problemet, da en borger klager over, at deres svar er blevet ændret.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I selv hoster OpnForm og ikke har konfigureret en unik, tilfældig saltværdi til Hashids. Brug jeres it-leverandør eller konfigurationsfiler til at kontrollere, om HASHIDS_SALT er sat til andet end standardværdien.
Hvordan tjekker vi, om vi er sårbare?
Se i OpnForm-installationens miljøvariabler eller konfigurationsfil efter feltet for Hashids-salt. Er det tomt eller sat til standardværdien, er installationen sårbar.
Kan vi vente til weekenden med at opdatere?
Det afhænger af, hvilke data formularerne indeholder. Håndterer jeres formularer personoplysninger eller fortrolige oplysninger, bør opdateringen ske inden for få timer, ikke dage.
Skal vi anmelde det til Datatilsynet?
Hvis I finder tegn på, at uautoriserede har hentet eller ændret formularsvar med personoplysninger, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne. Vurder omfanget, og søg juridisk rådgivning ved tvivl.
Er vores respondenters data allerede lækket?
Det kan ikke afvises alene på baggrund af denne beskrivelse. Gennemgå logfiler for mønstre med mange forespørgsler på fortløbende id’er mod svar-endpointet for at afklare, om der har været forsøg på udnyttelse.
Løser det bare at ændre saltværdien uden at opdatere softwaren?
Ja, som en midlertidig løsning. Det forhindrer nye angreb, men allerede udleverede links baseret på den gamle salt kan stadig fungere, indtil de udløber eller I roterer id’erne.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
OpnForm derives editable-submission secrets from sequential row identifiers using Hashids with an empty default salt, allowing unauthenticated attackers to compute hashes for any submission. Attackers can read other respondents’ full submission data through the submission-fetch endpoint or overwrite submissions by supplying predicted hashes to the answer endpoint.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.