Cinque vulnerabilità nei plugin e temi WordPress consentono la presa di controllo del sito

I ricercatori di sicurezza hanno pubblicato i dettagli di cinque vulnerabilità critiche in plugin e temi WordPress, che interessano WPMU DEV Dashboard, Avada, TranslatePress, Pods e GiveWP. Le falle, segnalate da Wordfence e Patchstack, vanno dal bypass dell'autenticazione e dall'escalation dei privilegi alla scrittura arbitraria di file e all'esecuzione di comandi. I proprietari dei siti che utilizzano uno di questi prodotti dovrebbero controllare immediatamente le versioni e attendere le patch dei fornitori.

WPMU DEV Dashboard è interessato da CVE-2026-76581, una vulnerabilità di bypass dell'autenticazione con un punteggio CVSS di 9.8, un valore di gravità standard in cui 9.8 significa critico. Un attaccante non autenticato può ottenere l'accesso come amministratore sui siti collegati a WPMU DEV che hanno l'Hub Single Sign-On (SSO) abilitato e mappato a un amministratore. La falla interessa tutte le versioni fino alla 5.0.1 inclusa.

Il tema Avada presenta CVE-2026-18431, anch'esso con punteggio 9.8. Si tratta di una falla di scrittura arbitraria di file che consente a un attaccante non autenticato di scrivere file controllati dall'attaccante sul server. In questo modo, l'attaccante può creare ed eseguire file PHP arbitrari, con conseguente esecuzione di codice in remoto e compromissione completa del sito. Il problema interessa tutte le versioni fino alla 7.16 inclusa quando il plugin Fusion Builder è installato e attivo nelle versioni fino alla 3.16 inclusa.

TranslatePress è interessato da CVE-2026-19632, anch'esso con punteggio 9.8. Questa falla di esposizione di informazioni sensibili può consentire a un attaccante non autenticato di estrarre l'URL di reimpostazione della password dell'amministratore in chiaro, inclusa la chiave di reset in testo semplice e i parametri di login. Con queste informazioni, un attaccante può assumere il controllo di un account amministratore. La vulnerabilità interessa tutte le versioni fino alla 3.3.1 inclusa solo quando il salvataggio automatico delle stringhe è abilitato e la lingua del profilo dell'amministratore target è impostata su una lingua secondaria pubblicata.

Il plugin Pods ha CVE-2026-19598, una falla di escalation dei privilegi con punteggio 9.8. Un attaccante non autenticato può elevare i propri privilegi ad Amministratore o sovrascrivere la password di qualsiasi account utente, incluso quello del proprietario del sito, portando alla completa compromissione del sito. Tutte le versioni fino alla 3.3.9 inclusa sono interessate.

GiveWP è interessato da CVE-2026-82222 con il punteggio CVSS massimo possibile di 10.0. La vulnerabilità consente a un attaccante di eseguire comandi arbitrari sul server di un sito GiveWP che ha un modulo di donazione pubblicato e un gateway di pagamento attivo. Secondo Patchstack, la falla concatena un helper di unserialize sicuro difettoso, un flusso di donazione che alimenta quell'helper con dati controllati dall'attaccante e una gadget chain nel codice fornito da GiveWP. Questo mostra come l'iniezione di oggetti PHP si trasformi in esecuzione di codice in remoto quando tre ingredienti si allineano: un luogo dove memorizzare un oggetto serializzato controllato dall'attaccante, codice che successivamente lo deserializza e una gadget chain nelle classi caricate. Patchstack ha anche indicato cause comuni: fidarsi di un sanitizzatore di serializzazione che in realtà non rimuove gli oggetti, deserializzare dati letti dal database come se fossero attendibili e distribuire librerie solo per lo sviluppo in produzione dove forniscono gadget chain già pronte.

Queste vulnerabilità sono gravi perché possono dare a un estraneo lo stesso controllo di un proprietario del sito. Un bypass dell'autenticazione o un'escalation dei privilegi significa che qualcuno può accedere come amministratore senza password. La scrittura arbitraria di file e l'esecuzione di comandi significano che l'attaccante può eseguire il proprio codice sul server di hosting, che può essere utilizzato per installare malware, rubare dati o utilizzare il server per ulteriori attacchi. Per i fornitori di hosting e i proprietari dei siti, ciò rende essenziali l'applicazione tempestiva delle patch e la revisione della configurazione.

Le divulgazioni elencano gli intervalli di versioni interessate ma non specificano quali rilasci contengono le correzioni. I proprietari dei siti dovrebbero controllare le pagine dei fornitori di plugin e temi, nonché gli avvisi di Wordfence e Patchstack, per informazioni ufficiali sulle patch non appena disponibili. In attesa degli aggiornamenti, gli amministratori possono ridurre il rischio disabilitando qualsiasi plugin o tema interessato ove possibile e rivedendo impostazioni come le mappature SSO, il salvataggio automatico delle stringhe e le configurazioni dei gateway di pagamento.

Per i proprietari che preferiscono che un fornitore gestisca la loro installazione WordPress, AEU Hosting offre hosting WordPress gestito, che può includere la delega delle attività di aggiornamento e sicurezza al team di hosting. Questo tipo di supporto può ridurre la probabilità di eseguire un plugin noto come vulnerabile per molto tempo dopo una divulgazione.