CVE-2026-8494: XSS-fejl i Permalink Manager Lite
Sårbarhed i Permalink Manager Lite til WordPress lader bidragydere indsætte skadelig kode. Opdatér til nyeste version.
Hvad er det?
CVE-2026-8494 er en sårbarhed i WordPress-pluginet Permalink Manager Lite, der bruges til at styre permalinks, altså de faste webadresser på en hjemmeside. Fejlen findes i admin-siden URI Editor, hvor titler på indlæg vises uden tilstrækkelig rensning af tegn. En bruger med Contributor-adgang, den laveste redaktørrolle i WordPress, kan derfor indsætte skadelig JavaScript-kode i et indlægs titel. Koden gemmes på siden (stored cross-site scripting) og køres automatisk, når en administrator senere åbner Permalink Manager-siden i admin-panelet. Sårbarheden rammer alle versioner op til og med 2.5.3.3.
Hvem rammer det?
Alle danske virksomheder og foreninger, der bruger WordPress med pluginet Permalink Manager Lite i version 2.5.3.3 eller ældre, er berørt. Det gælder især sider, hvor eksterne skribenter, freelancere eller praktikanter har fået tildelt Contributor- eller Author-rollen til at skrive indlæg, uden at have fuld administratoradgang.
Hvad kan ske?
En bruger med begrænset adgang kan skjule kode i titlen på et indlæg. Når en administrator åbner Permalink Manager-siden, køres koden i administratorens browser med administratorens rettigheder. Det kan bruges til at oprette en ny administratorbruger, stjæle admin-loginoplysninger eller ændre indstillinger på sitet uden at det opdages med det samme.
Hvor alvorligt er det?
CVSS-score er 6,4 af 10, moderat risiko. Angrebet kræver, at man allerede har en gyldig brugerkonto med Contributor-adgang på sitet, altså ikke en anonym angriber udefra. Der kræves ingen handling fra offeret udover at administratoren besøger den pågældende admin-side, hvilket sker som normal drift. Der er ikke rapporteret aktiv udnyttelse af sårbarheden på offentliggørelsesdatoen.
Hvad gør jeg nu?
Sårbarheden lukkes ved at opdatere pluginet. Gør følgende:
- Opdatér Permalink Manager Lite til en version nyere end 2.5.3.3 via WordPress-admin under Plugins.
- Gennemgå, hvilke brugere har Contributor-, Author- eller Editor-rolle, og fjern konti, der ikke længere er i brug.
- Tjek listen over indlæg for usædvanlige titler med tegn som <script> eller lignende kode, som kan være tegn på et tidligere forsøg.
- Begræns, hvem der kan tildele brugerroller, og overvej om eksterne skribenter i stedet skal have redigeret indhold godkendt før publicering.
- Kontakt jeres it-leverandør eller Auroa, hvis I ikke selv har mulighed for at opdatere pluginet eller vurdere omfanget af eksisterende brugerkonti.
Opdatér ved næste planlagte vedligehold
Vi anbefaler, at I opdaterer Permalink Manager Lite til nyeste version som en del af jeres almindelige WordPress-vedligehold. Da udnyttelse kræver en eksisterende brugerkonto på sitet, er der ikke akut behov for at reagere uden for normal arbejdstid, men vi anbefaler ikke at vente længere end et par uger. Har I mange eksterne skribenter med adgang til jeres WordPress-side, bør I prioritere opdateringen højere.
Tidslinje
Konkrete eksempler
Freelance skribent med adgang til blog
En dansk virksomhed har hyret en freelance skribent til at skrive blogindlæg og givet vedkommende Contributor-adgang til WordPress. Skribenten, eller en, der har fået fat i kontoen, indsætter skadelig kode i titlen på et indlæg. Da en marketingmedarbejder med administratorrettigheder senere åbner Permalink Manager for at rette et link, køres koden og opretter i baggrunden en ny administratorkonto, som angriberen kan bruge til at overtage sitet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-side bruger pluginet Permalink Manager Lite i version 2.5.3.3 eller ældre. Tjek versionen under Plugins i jeres WordPress-admin.
Kan vi vente til weekenden med at opdatere?
Ja, det kan I typisk. Angrebet kræver en gyldig brugerkonto med mindst Contributor-adgang, og der er ikke set aktiv udnyttelse. Vi anbefaler dog at opdatere ved næste planlagte lejlighed og ikke skubbe det ubestemt.
Hvordan tjekker vi, om vi allerede er blevet udnyttet?
Gennemgå titlerne på jeres indlæg for kode eller tegn, der ligner script-tags, og tjek listen over administratorbrugere for konti, I ikke selv har oprettet. Kontakt os, hvis I finder noget usædvanligt.
Skal vi anmelde dette som et sikkerhedsbrud?
Sårbarheden i sig selv er ikke et brud. Kun hvis I finder tegn på, at den faktisk er udnyttet og persondata er kompromitteret, kan det udløse anmeldelsespligt efter databeskyttelsesreglerne. Vi hjælper gerne med at vurdere det konkret.
Kan vi bare fjerne adgangen for eksterne skribenter i stedet for at opdatere?
Det reducerer risikoen, men løser ikke det underliggende problem i pluginet. Vi anbefaler at opdatere pluginet som den primære løsning og se rollebegrænsning som et ekstra sikkerhedslag.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Permalink Manager Lite plugin for WordPress is vulnerable to Stored Cross-Site Scripting via post titles in the admin URI Editor interface in all versions up to, and including, 2.5.3.3 due to insufficient output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in the admin Permalink Manager page that will execute whenever an administrator accesses the Permalink Manager page.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.