Le vulnerabilità dei plugin WordPress consentono takeover e code execution
Le vulnerabilità dei plugin WordPress che interessano strumenti ampiamente installati potrebbero consentire ad attaccanti non autenticati di assumere il controllo degli account amministratore, eseguire codice lato server, eliminare file o esporre dati di configurazione. I dati del bug bounty di Wordfence per giugno 2026 comprendono 1.066 segnalazioni, insieme a dettagli tecnici su gravi vulnerabilità in UpdraftPlus, Everest Forms Pro, Burst Statistics, Kirki, Gravity SMTP e Avada Builder. Wordfence afferma che gli attaccanti stavano sfruttando attivamente le vulnerabilità di Everest Forms Pro, Burst Statistics e Gravity SMTP.
Il programma ha registrato 306 ricercatori attivi e classificato 58 segnalazioni come minacce elevate, con un aumento del 65,7% rispetto al mese precedente. Altre 45 sono state inserite nella categoria comune e pericolosa, mentre sono state pubblicate sette regole per web application firewall. Un web application firewall filtra le richieste potenzialmente dannose prima che raggiungano un sito web. Wordfence afferma che gli utenti dei suoi servizi a pagamento Premium, Care e Response ricevono in tempo reale le regole applicabili, mentre gli utenti gratuiti le ricevono dopo 30 giorni. Di tutte le segnalazioni, 185 sono state accettate come in scope, una era out of scope, 578 sono state rifiutate e 302 erano duplicati.
Il cross-site scripting, che consente a contenuti ostili di essere eseguiti nel browser di un visitatore, è stato la categoria accettata più frequentemente, con 60 segnalazioni e ricompense per 5.710 dollari. Il programma ha inoltre accettato 21 segnalazioni di path traversal, in cui percorsi di file manipolati escono dalla cartella prevista, e 20 segnalazioni di SQL injection, in cui input appositamente creati alterano un comando del database. L’improper authentication ha generato 11.304 dollari in quattro segnalazioni, mentre l’improper verification of cryptographic signatures ha prodotto 10.725 dollari da due segnalazioni. Le vulnerabilità non autenticate hanno rappresentato 89 segnalazioni accettate, rispetto a 37 che richiedevano un account subscriber, 30 che richiedevano accesso contributor e 15 che richiedevano accesso author. Wordfence ha assegnato 42.553 dollari nel corso del mese, con una media di 230,02 dollari per ogni segnalazione convalidata e in scope.
Il bug bounty più elevato tra quelli elencati per giugno è stato di 5.200 dollari per un authentication bypass in UpdraftPlus. Con authentication bypass si intende l’accesso a funzioni protette senza dimostrare un’identità legittima. La sezione tecnica afferma che l’edizione gratuita era interessata fino alla versione 1.26.4 e quella premium fino alla 2.26.5, sebbene la tabella riepilogativa della segnalazione descriva l’intervallo dell’edizione premium come inferiore alla 2.26.5. Wordfence attribuisce la vulnerabilità a una debole validazione dei messaggi UpdraftCentral: la verifica della firma poteva essere aggirata e una decryption non riuscita poteva produrre una encryption key prevedibile composta interamente da zeri. Un attaccante non autenticato poteva quindi falsificare comandi remote procedure call, ossia istruzioni inviate al sito da un altro sistema, ed eseguirli con i privilegi dell’amministratore collegato. Un possibile risultato era il caricamento e l’attivazione di un plugin dannoso, con conseguente remote code execution, ovvero l’esecuzione sul server di codice controllato dall’attaccante.
Altre importanti ricompense riguardavano JetFormBuilder fino alla versione 3.6.2, dove un parametro non autenticato poteva consentire privilege escalation, e diversi plugin Newfold con un problema di validazione dei bearer token con secret vuoto. WPMU DEV Dashboard fino alla versione 5.0.0 è stato segnalato come vulnerabile a dati di autenticazione falsificati, che potevano permettere l’installazione arbitraria di plugin e la remote code execution. WPForms Pro fino alla versione 1.10.1.1 presentava un problema non autenticato di arbitrary file write relativo all’ordine di inizializzazione e completamento del chunked upload. Le ricompense corrispondenti sono state di 2.048, 1.950, 1.122 e 975 dollari.
Everest Forms Pro fino alla versione 1.9.12 conteneva una vulnerabilità PHP code injection sfruttabile da remoto nel suo Calculation Addon. Secondo Wordfence, la funzione process_filter() inseriva i valori inviati tramite i moduli nel codice PHP prima di passare tale codice a eval(), senza eseguire l’escaping dei caratteri che hanno un significato in PHP. In un modulo che utilizzava Complex Calculation, un attaccante non autenticato poteva inserire codice in campi di testo, email, URL, selezione o radio e farlo eseguire dal server. Wordfence ha descritto questa vulnerabilità come attivamente sfruttata.
Anche le versioni di Burst Statistics dalla 3.4.0 alla 3.4.1.1 erano oggetto di sfruttamento attivo. La gestione errata di un valore restituito nella funzione is_mainwp_authenticated() indeboliva i controlli sulle application password fornite tramite l’Authorization header. Un attaccante non autenticato che conosceva lo username di un amministratore poteva fornire una password Basic Authentication casuale e impersonare quell’amministratore per la richiesta. Nelle versioni di Kirki dalla 6.0.0 alla 6.0.6, l’elaborazione del password reset accettava un indirizzo email arbitrario quando veniva inviato uno username. Ciò consentiva a un attaccante non autenticato di indirizzare il link di reset di un altro utente verso un indirizzo email controllato dall’attaccante. La segnalazione associa questa scoperta relativa a Kirki a una ricompensa di 6.436 dollari, dato che non coincide con l’affermazione separata secondo cui 5.200 dollari rappresentavano il singolo bug bounty più elevato di giugno.
Gravity SMTP fino alla versione 2.1.4 esponeva circa 365 KB di informazioni di sistema tramite una REST API, un’interfaccia online attraverso la quale un software richiede dati. Il relativo controllo dei permessi approvava sempre l’accesso a un endpoint di mock data. Aggiungendo una specifica query delle impostazioni, un visitatore non autenticato poteva recuperare le versioni di PHP, del web server, del database e di WordPress, i percorsi dei documenti, i nomi delle tabelle del database, i plugin e i temi installati, i dettagli di configurazione e le API keys o i token memorizzati nel plugin. Wordfence ha affermato che gli attaccanti stavano sfruttando attivamente questo problema di esposizione delle informazioni.
Avada Builder fino alla versione 3.15.3 verificava in modo insufficiente i percorsi dei file nella sua funzione maybe_delete_files. I siti erano esposti quando disponevano di un modulo Avada pubblicato e configurato per salvare le voci nel database. Un attaccante non autenticato poteva inviare un valore di path traversal e manipolare i campi di privacy cleanup affinché il plugin eliminasse immediatamente il file selezionato senza l’intervento di un amministratore. Wordfence ha osservato che l’eliminazione di un file come wp-config.php poteva causare remote code execution. La segnalazione ha inoltre evidenziato un supply-chain compromise riguardante plugin ShapedPlugin Pro dotati di backdoor e distribuiti attraverso canali ufficiali, ma ha elencato soltanto varie versioni interessate anziché un intervallo preciso.
I proprietari di siti web dovrebbero considerare l’inventario e gli aggiornamenti dei plugin attività di sicurezza ordinarie, in particolare quando sono installate versioni interessate o una vulnerabilità è già oggetto di sfruttamento. Per le organizzazioni che desiderano una gestione diretta del sito in cui la sicurezza sia una priorità, AEU Hosting offre hosting WordPress gestito e protetto end to end. Indipendentemente dalla soluzione di hosting, gli amministratori dovrebbero verificare le versioni dei plugin installati, applicare gli aggiornamenti disponibili dei fornitori e indagare su account amministratore, installazioni di plugin o modifiche alla configurazione inattesi.