CVE-2026-110963: Userplace Plugin, Privilege Escalation Critica

CVE-2026-110963 identifica una vulnerabilità di autorizzazione nel plugin Userplace per WordPress. La falla consente a un attaccante non autenticato di interagire con un'azione AJAX senza autorizzazione, sfruttando un nonce pubblicamente esposto. Il plugin non verifica le credenziali dell'utente prima di elaborare la richiesta, permettendo la creazione di account amministratore o la modifica di configurazioni critiche del sito.

Il CVSS è 9,8 (critico), il valore massimo per le vulnerabilità di impatto. Il plugin è interessato fino alla versione 1.2.0. Ad oggi 2026-11-08, nessuna patch è stata resa disponibile: i segnali su X riportano attivamente che non esiste una soluzione ufficiale. Ciò significa che ogni installazione attiva del plugin rimane completamente vulnerabile a un attacco non sofisticato che non richiede credenziali.

Gli amministratori devono disabilitare immediatamente il plugin finché una patch ufficiale non sia disponibile. È essenziale verificare i log di accesso, i dettagli di creazione dei database degli utenti amministratori e le modifiche alle opzioni di sito per identificare sfruttamenti avvenuti. A livello preventivo, implementare controlli di autorizzazione robusti su tutte le azioni AJAX, preferibilmente a livello di middleware server, e mantenersi aggiornati sui rilasci di sicurezza del plugin tramite canali ufficiali.