CVE-2020-13405: divulgazione del database utenti in Microweber

Accesso non autenticato al database utenti in Microweber < 1.1.20 tramite POST /modules/. CVSS 7,5.

CVE-2020-13405 è una vulnerabilità di divulgazione d'informazioni in Microweber, un CMS open-source, che colpisce tutte le versioni precedenti alla 1.1.20. La falla risiede nell'endpoint userfiles/modules/users/controller/controller.php, che non valida adeguatamente le richieste POST al percorso /modules/. Un attaccante non autenticato può sfruttare questa mancanza di validazione per accedere direttamente al database contenente i dati degli utenti, incluse le credenziali.

La vulnerabilità ha un punteggio CVSS di 7,5, classificata High severity. È stata registrata nel National Vulnerability Database il 16 luglio 2020. Significativamente, l'8 novembre 2026 sono stati confermati repository pubblici su GitHub contenenti Proof of Concept funzionanti: un segnale concreto di rinnovata attenzione della comunità di sicurezza verso questo difetto ancora presente in distribuzioni attive.

Gli amministratori Microweber devono verificare immediatamente la versione installata e, se inferiore a 1.1.20, procedere con aggiornamento urgente. Una revisione dei log di accesso ai server è critica per identificare possibili accessi non autorizzati al percorso /modules/ che indicano sfruttamento attivo della falla. Implementare controlli di accesso aggiuntivi e monitoraggio su questo endpoint è prioritario fino al completamento della patch.

In sintesi

Cosa: Microweber versioni precedenti alla 1.1.20 permettono ad utenti non autenticati di accedere al database degli utenti tramite richieste POST al percorso /modules/. La vulnerabilità non richiede credenziali e colpisce l'endpoint userfiles/modules/users/controller/controller.php, secondo la descrizione ufficiale NVD.
Gravità: CVSS 7,5 - High: accesso diretto a dati sensibili (credenziali utenti) senza autenticazione. Impatto concreto per organizzazioni che dipendono da Microweber.
Versioni interessate: Tutte le versioni Microweber inferiori a 1.1.20.
Correzione: Aggiornare a Microweber 1.1.20 o successivo.
Stato: Pubblicato in NVD il 16 luglio 2020. Proof of Concept pubblicamente disponibili su repository GitHub confermati l'8 novembre 2026.
Azione: Verificare versione installata e aggiornare immediatamente se inferiore a 1.1.20. Controllare log di accesso per richieste POST sospette a /modules/. Implementare restrizioni di accesso su questo endpoint in attesa di patch.

Fonti: NVD, CVE-2020-13405

← Tutti gli articoli