CVE-2026-75865: Filupload-sårbarhed i WPLP Cookie Consent
Sårbarhed i WordPress-pluginnet WPLP Cookie Consent (CVE-2026-75865) tillader filupload uden login. Opdatér til nyeste version i dag.
Hvad er det?
WPLP Cookie Consent er et WordPress-plugin, der viser cookie-banner og styrer samtykke til GDPR og CCPA på hjemmesider. CVE-2026-75865 er en sårbarhed af typen arbitrær filupload (CWE-434), hvor et system tillader upload af filer uden at kontrollere filtype eller tjekke, om den, der uploader, har ret til det. Fejlen sidder i funktionen saas_upload_logo() og i endepunkter (adgangspunkter i pluginnets programmeringsgrænseflade) på WPLP-connectoren, som mangler adgangskontrol. Det betyder, at en angriber kan sende en fil direkte til serveren uden at logge ind, og hvis filen er et scriptprogram, kan den efterfølgende køres og give fuld kontrol over serveren.
Hvem rammer det?
Sårbarheden rammer alle WordPress-websites, der har installeret pluginnet WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode i version 4.4.1 eller ældre. Det gælder danske virksomheder, foreninger og kommuner, der bruger pluginnet til cookie-samtykke, uanset om hjemmesiden drives internt af egen it-afdeling eller af et eksternt webbureau.
Hvad kan ske?
En angriber uden login kan uploade en fil, der fungerer som en bagdør på serveren. Herefter kan angriberen køre kode med webserverens rettigheder, læse og ændre databaser, stjæle kundedata eller bruge serveren til at sende spam eller angribe andre systemer. For en dansk virksomhed kan det i praksis betyde nedlukning af hjemmesiden, læk af persondata og en hændelse, der skal anmeldes til Datatilsynet.
Hvor alvorligt er det?
CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver ikke login og ingen handling fra en bruger, og det kan udføres over internettet med lav teknisk kompleksitet. Konsekvensen kan være fuld overtagelse af fortrolighed, integritet og tilgængelighed på serveren. Der er ikke offentligt belæg for, at sårbarheden allerede er udnyttet i praksis, men da angrebet er enkelt at automatisere, må risikoen for hurtig masseudnyttelse betragtes som reel.
Hvad gør jeg nu?
Følg punkterne i den anførte rækkefølge for at lukke hullet og begrænse skaden.
- Opdatér pluginnet WPLP Cookie Consent til version 4.4.2 eller nyere, hvor sårbarheden er rettet.
- Kan opdateringen ikke gennemføres med det samme, deaktivér pluginnet, indtil det er opdateret.
- Gennemgå webserverens filsystem for uventede eller nye filer, især i upload-mapper under wp-content.
- Tjek web- og serverlogfiler for ukendte forespørgsler mod REST-endepunkter, der nævner wplp eller saas_upload_logo.
- Skift adgangskoder og eventuelle API-nøgler for websitet, hvis I finder tegn på uautoriseret adgang.
- Kontakt en it-sikkerhedsspecialist, hvis I finder tegn på indbrud, eller hvis I ikke selv kan gennemføre undersøgelsen.
Opdatér inden for 24 timer
Vi anbefaler, at I opdaterer pluginnet WPLP Cookie Consent til nyeste version så hurtigt som muligt, da sårbarheden kan udnyttes uden login og give angribere fuld kontrol over serveren. Driftes hjemmesiden af et webbureau, bør I kontakte dem i dag og bede om bekræftelse på, at opdateringen er installeret. Det er kun i orden at vente, hvis pluginnet i mellemtiden er deaktiveret.
Tidslinje
Konkrete eksempler
Cookie-banner bliver indgang til hele serveren
En mindre dansk webshop bruger WPLP Cookie Consent til at vise cookie-samtykke på deres WordPress-side. En angriber finder det sårbare endepunkt, uploader en fil uden at logge ind, og får dermed mulighed for at køre kode på serveren. Herfra får angriberen adgang til webshoppens kundedatabase med navne og e-mailadresser, og virksomheden må lukke hjemmesiden ned og undersøge, om oplysningerne er blevet stjålet.
Ofte stillede spørgsmål
Er vi ramt af sårbarheden?
I er ramt, hvis jeres WordPress-website bruger pluginnet WPLP Cookie Consent i version 4.4.1 eller tidligere. Tjek versionen under Plugins i wp-admin.
Hvordan tjekker vi, hvilken version af pluginnet vi kører?
Log ind i wp-admin, gå til Plugins, og se versionsnummeret ud for WPLP Cookie Consent. Er det 4.4.1 eller lavere, skal I opdatere.
Kan vi vente til weekenden med at opdatere?
Vi anbefaler ikke det. Sårbarheden kan udnyttes uden login, og fejlen er nem at automatisere, så en forsinket opdatering øger risikoen for, at serveren kompromitteres i mellemtiden.
Skal vi anmelde det til Datatilsynet?
Det skal I gøre, hvis I finder tegn på, at angribere har fået adgang til personoplysninger via sårbarheden. Uden tegn på misbrug er der ikke anmeldelsespligt, men vi anbefaler alligevel at undersøge serveren grundigt.
Er det nok at opdatere pluginnet, eller skal vi gøre mere?
Opdateringen lukker selve sårbarheden, men hvis serveren allerede er blevet kompromitteret, skal I også fjerne uploadede filer, skifte adgangskoder og eventuelt gendanne fra en ren sikkerhedskopi.
Hvordan finder vi ud af, om vi allerede er blevet hacket?
Gennemgå upload-mapper for filer, der ikke burde være der, og tjek logfilerne for uventede forespørgsler mod pluginnets endepunkter. Er I i tvivl, bør en it-sikkerhedsspecialist undersøge serveren.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The WPLP Cookie Consent – Cookie Banner & Consent Management for GDPR, CCPA & Google Consent Mode plugin for WordPress is vulnerable to arbitrary file upload due to missing file type validation in the saas_upload_logo() function combined with an authorization bypass on the WPLP connector REST endpoints in all versions up to, and including, 4.4.1. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site’s server which may make remote code execution possible.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.