CVE-2026-9629: Stored XSS i WordPress-plugin Canvas
Sårbarhed i WordPress-plugin’et Canvas (CVE-2026-9629) tillader ondsindet kode i sider. Opdatér til nyeste version.
Hvad er det?
CVE-2026-9629 er en sårbarhed i WordPress-plugin’et Canvas, som bruges til at bygge og tilpasse sider på WordPress-websites. Fejlen er en type cross-site scripting kaldet stored XSS, hvor ondsindet kode gemmes permanent på siden fremfor kun at ramme ét besøg. Problemet opstår, fordi plugin’et ikke renser input korrekt i feltet ‘tag’, og koden derfor kan udføres, hver gang en bruger besøger den ramte side. Alle versioner til og med 2.5.2 er berørt.
Hvem rammer det?
Sårbarheden rammer danske virksomheder og kommuner, der bruger WordPress med plugin’et Canvas i version 2.5.2 eller ældre. Det kræver, at angriberen har en bruger med mindst bidragyder-rettigheder (contributor) på sitet, altså en konto med adgang til at oprette eller redigere indhold. Websites, hvor eksterne skribenter, freelancere eller mange medarbejdere har oprettet indholdskonti, er særligt relevante at kigge på.
Hvad kan ske?
En bruger med bidragyder-adgang kan indsætte skadelig kode i ‘tag’-feltet på en side. Når andre brugere, herunder administratorer, besøger den side, køres koden i deres browser. I praksis kan det bruges til at stjæle sessions-cookies, oprette nye administratorkonti eller omdirigere besøgende til svindelsider. Da sårbarheden kræver en eksisterende konto, er den mest relevant, hvis en konto allerede er kompromitteret, eller hvis en intern bruger med ond vilje udnytter adgangen.
Hvor alvorligt er det?
CVSS-scoren er 6,4 ud af 10, moderat. Angrebet kræver en lav grad af privilegier, altså en gyldig bruger med bidragyder-rettigheder, men ingen brugerhandling fra offeret. Angriberen behøver ikke narre nogen til at klikke på noget, koden udføres automatisk, når siden vises. Der er ingen tegn på, at sårbarheden aktivt udnyttes i virkeligheden, og der er ikke offentliggjort færdig angrebskode.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér Canvas-plugin’et til nyeste version via WordPress-administrationen straks det er muligt.
- Gennemgå, hvem der har bidragyder-adgang eller højere, og fjern konti, der ikke længere er i brug.
- Kontrollér eksisterende sider for uventet indhold i tag-felter eller andre steder, hvor der kan ligge skjult kode.
- Aktivér totrinsbekræftelse på alle konti med redigeringsrettigheder for at mindske risikoen for kaprede konti.
- Overvej en sikkerheds-plugin, der scanner for indsat kode, hvis I har mange eksterne bidragydere.
- Kontakt Auroa eller jeres it-leverandør, hvis I ikke selv kan verificere, om jeres site er opdateret, eller hvis I finder mistænkeligt indhold.
Opdatér ved førstkommende vedligeholdelsesvindue
Vi anbefaler, at I opdaterer Canvas-plugin’et til nyeste version og samtidig gennemgår, hvem der har bidragyder-adgang på jeres WordPress-site. Det er en moderat risiko, så det er i orden at vente til næste planlagte opdateringsrunde, hvis I i mellemtiden begrænser antallet af brugere med redigeringsrettigheder. Har I mange eksterne skribenter eller freelancere med adgang, bør I dog prioritere opdateringen hurtigere.
Tidslinje
Konkrete eksempler
Kompromitteret freelancerkonto på kommunal hjemmeside
En dansk kommune bruger WordPress med Canvas-plugin’et og har givet en ekstern tekstforfatter bidragyder-adgang til at skrive nyheder. Forfatterens konto bliver kompromitteret via genbrugt kodeord, og angriberen indsætter skadelig kode i tag-feltet på en nyhedsside. Når en kommunal medarbejder med administratorrettigheder besøger siden for at godkende indholdet, køres koden, og angriberen får adgang til at oprette en ny administratorkonto.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres WordPress-site bruger plugin’et Canvas i version 2.5.2 eller ældre. Tjek versionsnummeret under Plugins i WordPress-administrationen.
Hvordan tjekker vi, om nogen har udnyttet sårbarheden?
Gennemgå sider oprettet eller redigeret af bidragydere for usædvanlig kode i tag-felter, og tjek administratorkonti for uventede oprettelser eller ændringer.
Kan vi vente til weekenden med at opdatere?
Ja, hvis I har begrænset antallet af brugere med bidragyder-adgang og ingen af dem er eksterne. Er der mange interne eller eksterne bidragydere, bør opdateringen ske hurtigere.
Skal vi anmelde hændelsen, hvis vi finder tegn på misbrug?
Hvis I konstaterer, at persondata er blevet tilgået eller misbrugt via den indsatte kode, skal I vurdere anmeldelsespligt efter databeskyttelsesforordningen og eventuelt kontakte Datatilsynet.
Kræver sårbarheden, at en administrator klikker på noget?
Nej. Når koden er indsat på en side, udføres den automatisk, når en bruger, herunder en administrator, besøger siden.
Rammer det andre plugins eller kun Canvas?
Sårbarheden er specifik for Canvas-plugin’et i de nævnte versioner. Andre plugins er ikke berørt af denne konkrete fejl.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
The Canvas plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘tag’ parameter in all versions up to, and including, 2.5.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.