CVE-2026-92805: Kritisk adgangsfejl i UVdesk 1.1.8

UVdesk Community Skeleton indeholder en fejl i den controller, der styrer installationsguiden. Fejltypen hedder CWE-306 og betyder, at systemet slet ikke tjekker, om brugeren er logget ind, før det tillader visse handlinger. En angriber kan sende særligt udformede forespørgsler til installationsguidens endepunkter, pege databaseforbindelsen mod en anden database og oprette en ny superadministratorkonto. Det kræver hverken brugernavn, adgangskode eller forudgående adgang til systemet.

Fejlen rammer alle installationer af UVdesk Community Skeleton i version 1.1.8 og tidligere. UVdesk er en open source helpdesk-løsning baseret på Symfony og bruges af virksomheder og kommuner, der selv drifter deres supportsystem. Er jeres UVdesk-installation tilgængelig fra internettet, er I i direkte risiko. Installationer bag VPN eller firewall, der blokerer offentlig adgang til installationsguidens URL-stier, er mindre udsatte.

En angriber kan overtage hele jeres helpdesk-system uden nogen form for legitimation. Det giver adgang til alle supportsager, kundeoplysninger og interne kommunikationsdata. Angriberen kan oprette sin egen administratorkonto, låse jeres egne brugere ude og manipulere eller slette data. Databaseforbindelsen kan desuden peges mod en ekstern server, hvilket kan føre til datatyveri i stor skala. For en dansk virksomhed kan dette udløse en brud på persondataforordningen (GDPR), hvis der behandles personoplysninger via helpdesken.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login, ingen brugerhandling og kan udføres over netværket med lav teknisk kompleksitet. Alle tre sikkerhedsdimensioner er maksimalt påvirket: fortrolighed, integritet og tilgængelighed. Der er endnu ikke bekræftet aktiv udnyttelse, men fejlens enkle natur gør den attraktiv for automatiserede angreb. Ventetid øger risikoen mærkbart.

Følg disse trin i prioriteret rækkefølge for at lukke hullet og begrænse skaden:

1. Bloker offentlig adgang til installationsguidens URL-stier, typisk /en/wizard og tilsvarende ruter, via jeres webserver eller firewall, så endepunkterne ikke er tilgængelige fra internettet.
2. Tjek jeres UVdesk-version. Er I på 1.1.8 eller tidligere, er I sårbare. Kontrollér også logfiler for usædvanlige POST-forespørgsler mod wizard-endepunkter de seneste uger.
3. Gennemgå administratorkonti i UVdesk og slet alle konti, I ikke genkender. Skift adgangskoder på alle eksisterende administratorkonti.
4. Opdatér UVdesk til den nyeste tilgængelige version, når en afhjulpet udgave frigives, og følg projektets officielle udgivelseskanal.
5. Vurdér, om personoplysninger kan være tilgået af uvedkommende. Er det tilfældet, har I sandsynligvis pligt til at anmelde bruddet til Datatilsynet inden for 72 timer efter opdagelsen.
6. Kontakt ekstern sikkerhedsrådgivning, hvis I ikke selv kan gennemføre loganalysen eller er i tvivl om, hvorvidt systemet allerede er kompromitteret.