Vulnerabilità · 44 giorni fa

Cinque plugin WordPress aprono la strada al takeover

Wordfence e Patchstack hanno ampliato il quadro: non c’è più solo la chain di Avada, ma cinque flaw critiche in componenti WordPress di WPMU DEV, Avada, TranslatePress, Pods e GiveWP. Il risultato pratico è che un sito può restare esposto a takeover o RCE anche dopo aver corretto un singolo plugin.

Le falle vanno dall’authentication bypass all’arbitrary file write, dalla privilege escalation alla disclosure di dati sensibili fino all’esecuzione di comandi su GiveWP. In alcuni casi non serve un login; basta che siano attive certe funzioni del plugin o che siano presenti combinazioni specifiche di componenti e configurazioni. Questo trasforma un livello applicativo fidato in un percorso diretto verso l’admin o verso il server.

Per chi gestisce stack WordPress basati su plugin, il punto non è solo una CVE da chiudere. Restano possibili più vie di compromissione sullo stesso sito, e una correzione parziale può lasciare intatta un’altra strada di takeover nello stesso ambiente.

CVE-2026-19598

NVD KEV

CVSS 9.8 CRITICAL: the Pods – Custom Content Types and Fields plugin for WordPress is vulnerable to Privilege Escalation via Authorization Bypass in all versions up to, and including, 3.3.9. EPSS 4% (89º percentile).

CVE-2026-18431

NVD KEV

CVSS 9.8 CRITICAL: the Avada theme for WordPress is vulnerable to Arbitrary File Write in all versions up to, and including, 7.16 when… EPSS 0.9% (59º percentile).

CVE-2026-82222

NVD KEV

CVSS 10 CRITICAL: deserialization of Untrusted Data vulnerability in Liquid Web / StellarWP GiveWP allows Object Injection. This issue…

CVE-2026-19632

NVD KEV

Cronologia

Fonti

2 fonti che coprono questa storia

Entità

Part of the PlainSec briefing for 2026-08-30

Editions