CVE-2026-9134: XSS-sårbarhed i FooGallery til WordPress
FooGallery-pluginet til WordPress kan udnyttes af bidragydere til at indsætte skadelig JavaScript. Opdater pluginet til nyeste version.
Hvad er det?
CVE-2026-9134 er en sårbarhed i WordPress-pluginet FooGallery, der bruges til at vise billedgallerier på hjemmesider. Fejlen er en type cross-site scripting (XSS), hvor en angriber kan gemme skadelig kode direkte på siden, så koden kører automatisk, når andre besøger den. Sårbarheden opstår, fordi pluginets funktion til at rense JavaScript-kode kun blokerer et udvalg af farlige HTML-attributter, mens andre, som ‘onmouseenter’, slipper igennem. Samtidig undlader pluginet at rense parameteren ‘custom_attribute_key’, når galleriets HTML-kode bygges. Det gør det muligt at gemme skadelig kode i et galleri, som derefter afvikles hos alle, der besøger den pågældende side.
Hvem rammer det?
Det rammer alle WordPress-sider, der bruger FooGallery i version 3.1.31 eller ældre. Det gælder typisk danske virksomheder og kommuner, der bruger WordPress med FooGallery til at vise produktbilleder, projektportfolios eller nyhedsgalleri. Sårbarheden kræver, at angriberen har en brugerkonto med mindst bidragyder-rettigheder (contributor), altså en rolle, der kan oprette indhold, men ikke publicere direkte.
Hvad kan ske?
En bruger med bidragyder-adgang, eller en konto der er blevet overtaget, kan indsætte skadelig kode i et galleri. Når en administrator eller redaktør senere åbner siden for at godkende eller redigere indholdet, kører koden i deres browser. Det kan bruges til at stjæle deres login-session, oprette nye administratorkonti eller ændre indhold på sitet uden at det kræver adgang til serveren.
Hvor alvorligt er det?
CVSS-score er 6,4 ud af 10, hvilket NVD klassificerer som moderat. Angrebet kræver ingen handling fra den, der besøger siden, men kræver at angriberen allerede har en konto med bidragyder-rettigheder. Der er ikke oplyst om aktiv udnyttelse af sårbarheden, og det er derfor ikke en kritisk, akut trussel, men en fejl der bør rettes ved næste opdateringsrunde.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdater FooGallery til den nyeste version via WordPress-administrationen, da en nyere version retter den utilstrækkelige filtrering af HTML-attributter.
- Gennemgå, hvilke brugere der har bidragyder-rettigheder eller højere, og fjern konti, der ikke er i aktiv brug.
- Aktiver to-faktor-login for alle brugere med bidragyder-adgang og opefter, så en stjålet adgangskode ikke er nok til at oprette indhold.
- Gennemse eksisterende gallerier for uventet eller ukendt kode i attributfelter, hvis pluginet har været i brug i længere tid.
- Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv har overblik over, hvilke plugins og versioner der kører på jeres WordPress-installationer.
Opdater inden for 14 dage
Vi anbefaler, at I opdaterer FooGallery til nyeste version som en del af jeres normale opdateringsrutine, og at I samtidig strammer op på, hvem der har bidragyder-adgang til jeres WordPress-site. Da sårbarheden er moderat og kræver en eksisterende brugerkonto for at kunne udnyttes, er det acceptabelt at vente til næste planlagte opdateringsvindue, forudsat at det sker inden for et par uger.
Tidslinje
Konkrete eksempler
Kompromitteret bidragyderkonto på en dansk webshop
En mindre dansk webshop bruger FooGallery til at vise produktbilleder og har en ekstern tekstforfatter med bidragyder-adgang til at oprette produktsider. Tekstforfatterens konto bliver kompromitteret via en genbrugt adgangskode, og angriberen indsætter skadelig kode i et galleri. Da webshoppens administrator senere godkender siden, stjæles administratorens session, og angriberen får fuld adgang til sitet.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-side bruger FooGallery i version 3.1.31 eller ældre. Tjek pluginversionen under Plugins i WordPress-administrationen.
Kræver angrebet, at vores webside besøges af udefra?
Nej. Angrebet kræver en brugerkonto med bidragyder-rettigheder eller højere på jeres eget WordPress-site. En ekstern angriber uden en sådan konto kan ikke direkte udnytte sårbarheden.
Kan vi vente til den næste planlagte opdatering?
Ja, det er forsvarligt, så længe det sker inden for et par uger, og I samtidig sikrer, at der ikke er ukendte eller mistænkelige bidragyderkonti på jeres site.
Hvordan tjekker vi, om vores galleri allerede er ramt?
Gennemgå eksisterende gallerier og deres shortcode-parametre for uventet HTML eller JavaScript-kode i felter som custom_attribute_key. Er der tegn på ukendt kode, bør I fjerne det og skifte adgangskoder for berørte konti.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I finder konkrete tegn på, at sårbarheden er blevet udnyttet, og at persondata er blevet kompromitteret. Er der ingen tegn på misbrug, er en almindelig opdatering tilstrækkelig.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The FooGallery plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘custom_attribute_key’ shortcode parameter in versions up to, and including, 3.1.31 This is due to an incomplete JavaScript event handler blacklist in the foogallery_sanitize_javascript() function, which blocks only a subset of HTML event attributes (onmouseover, onmouseout, onpointerenter, onclick, onload, onchange, onerror) while permitting others such as ‘onmouseenter’, combined with the failure to escape the attribute key when building the gallery container HTML in foogallery_build_container_attributes_safe(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.