CVE-2026-87929: Hardkodet nøgle i MaxSite CMS

MaxSite CMS er et indholdsstyringssystem (CMS), et system til at redigere og publicere indhold på en hjemmeside. I alle versioner op til og med 109.6 leverer softwaren en fast, indbygget krypteringsnøgle i filen application/config/config.php. Nøglen bruges til at signere sessions-cookien ci_session, som CMS’et bruger til at holde brugere logget ind. Fordi nøglen aldrig ændres under installationen, er den identisk på alle installationer af CMS’et og kan findes i den offentligt tilgængelige kildekode. En angriber kan derfor selv beregne en gyldig HMAC-SHA1-underskrift, en matematisk kontrolværdi der bekræfter, at en cookie ikke er ændret, og bygge en cookie, der udgiver sig for at være administrator. Cookien slipper igennem funktionerne is_login() og mso_check_allow(), som ellers skal tjekke login, og giver dermed fuld administratoradgang uden kodeord.

Sårbarheden rammer alle, der kører MaxSite CMS i version 109.6 eller ældre, og som ikke selv har udskiftet krypteringsnøglen i config.php. Det gælder danske virksomheder og foreninger, der bruger CMS’et til deres hjemmeside eller webshop, samt kommunale eller institutionelle sider bygget på platformen. Alle installationer, der bruger standardopsætningen uden manuel ændring af nøglen, er sårbare, uanset hvilke moduler eller temaer der er installeret.

Med en forfalsket administrator-cookie kan en angriber logge ind som administrator uden at kende noget kodeord. Herfra kan angriberen ændre indhold på hjemmesiden, uploade skadelig kode, tilgå eller stjæle data om kunder og brugere, og i praksis overtage kontrollen med hele CMS’et. For en dansk virksomhed betyder det risiko for hjemmesidedefacement, tab af kundedata og mulig videre spredning af skadelig software til besøgende på siden.

CVSS-scoren er 9,8 ud af 10, hvilket er den højeste alvorlighedsgrad. Angrebet kræver ingen godkendt bruger, intet login og ingen handling fra en bruger, det kan udføres direkte over internettet mod en sårbar server. Der er ingen kendte tilfælde af aktiv udnyttelse endnu, men fremgangsmåden er beskrevet så detaljeret i sårbarhedsrapporten, at den er nem at gengive for enhver, der kender adressen på en sårbar installation.

Følg disse skridt for at lukke hullet og begrænse skaden:

1. Skift krypteringsnøglen i application/config/config.php til en ny, tilfældig værdi, og genstart CMS’et. Dette lukker hullet med det samme.
2. Tjek om der findes en nyere version af MaxSite CMS end 109.6, og opdatér til den, hvis den findes.
3. Gennemgå administratorkonti og loginlog for usædvanlig aktivitet siden CMS’et blev sat op.
4. Tving alle administratorer til at logge ud og ind igen, så gamle sessions-cookier bliver ugyldige.
5. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, at nøglen er unik og korrekt udskiftet, eller hvis I finder tegn på uautoriseret adgang.