CVE-2026-103688: RCE nel plugin WooCommerce Checkout Files Upload

CVE-2026-103688 colpisce il plugin Checkout Files Upload per WordPress che integra WooCommerce. La falla risiede in un difetto di convalida dei tipi di file: quando l'impostazione 'accepted file types' è lasciata vuota (configurazione documentata come modo di accettare tutti i file), il plugin non applica alcun controllo. Questo consente a utenti non autenticati di caricare file arbitrari, inclusi script PHP che vengono eseguiti dal server se conservati nella directory upload. L'impatto è l'esecuzione remota di codice (RCE) su siti e-commerce gestiti con WooCommerce.

La vulnerabilità ha un punteggio CVSS 9,8, classificato come critical. Il National Vulnerability Database (NVD) ha confermato la falla il 28 ottobre 2026. Inoltre, il 30 ottobre sono comparsi segnali su piattaforme pubbliche di repository che indicano l'esistenza di prove di concetto funzionanti, confermando la praticabilità dello sfruttamento. Nessuna informazione disponibile su sfruttamento attivo in natura, ma la disponibilità di PoC aumenta significativamente il rischio.

Le organizzazioni che gestiscono negozi WooCommerce devono aggiornare il plugin alla versione 2.4.0 o successive con urgenza. Prima di aggiornare, è consigliabile verificare la versione attualmente installata e testare l'aggiornamento in ambienti di staging per evitare problemi di compatibilità. Nel frattempo, se l'aggiornamento non è possibile, disabilitare il plugin è l'unica mitigazione completa. Consigliamo anche di esaminare i log di accesso e le attività nella directory upload per rilevare eventuali upload sospetti o esecuzioni anomale.