Vulnerabilità · 51 giorni fa

Due falle di WordPress trasformano la sessione admin in accesso al server

Il 21 settembre, Rafie Muhammad ha descritto Comment2Shell (CVE-2026-93485), una seconda falla nel core di WordPress che affianca Click2Shell e porta contenuti ostili all’esecuzione con i privilegi dell’amministratore. Nessuna delle due risulta sfruttata in attacchi confermati.

Con Comment2Shell, WordPress controlla l’HTML del commento quando viene salvato, poi lo riformatta quando mostra la pagina: una nuova riga può trasformare testo trattato come innocuo in un’azione automatica del browser. Se il commento viene visualizzato e un amministratore lo apre, l’azione può usare la sua sessione per caricare un plugin ed eseguire codice sul server. Click2Shell segue un’altra via: una visita di un utente autenticato può avviare l’installazione e l’anteprima di un tema.

WordPress ha corretto entrambe le falle nella versione 7.1.1, rilasciata il 17 settembre. La correzione chiude i percorsi noti nel core, ma non chiarisce se un commento sospetto sia stato mostrato e aperto prima dell’aggiornamento.

CVE-2026-93485

NVD KEV

CVSS 7.1 HIGH: improper neutralization of input during web page generation ('cross-site scripting') vulnerability in Automattic… EPSS 0.8% (56º percentile).

Cronologia

Fonti

3 fonti che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-09-22

Editions

Storie correlate