CVE-2026-109516: Takeover di account amministratore in WordPress

Il CVE-2026-109516 identifica una vulnerabilità critica di autenticazione nel plugin WordPress Bot for Telegram on WooCommerce, versioni fino a 1.3.0. Un endpoint REST non è protetto da verifiche di autorizzazione né verifica della firma webhook di Telegram. Un attaccante non autenticato può inviare una richiesta contraffatta con il nome di qualsiasi utente WordPress, incluso un amministratore, e compromettere l'account target.

Il sistema risolve il nome in un account senza verificare la legittimità della richiesta e genera un token di login basato su dati controllati dall'attaccante. Il token è riscattabile presso un endpoint non protetto che emette un cookie di sessione autenticata persistente, consentendo l'accesso completo all'account compromesso.

Il punteggio CVSS è 9,8 (critico): il massimo impatto su confidenzialità, integrità e disponibilità. La vulnerabilità è stata pubblicata dal National Vulnerability Database il 29 ottobre 2026 e segnalata su canali pubblici il 30 ottobre 2026. Non sono disponibili dati su exploit pubblici verificati, ma il meccanismo è diretto e immediatamente sfruttabile.

Amministratori di sistemi WordPress devono verificare immediatamente quale versione del plugin Bot for Telegram on WooCommerce è installata. Se presente la versione 1.3.0 o precedente, aggiornare a una versione successiva è prioritario. Se non disponibile, disabilitare temporaneamente il plugin fino a una patch ufficiale. Verificare nei log di accesso WordPress la presenza di sessioni non autorizzate su account amministratore.