CVE-2026-113615: SQL injection in GS JWT WordPress Plugin

Il CVE-2026-113615 descrive una vulnerabilità di SQL injection nel plugin GS JWT Authentication for WP REST API per WordPress, versioni fino alla 1.0.0. La falla risiede su rotte REST non autenticate dove un valore di richiesta non viene sanitizzato prima di essere utilizzato in query SQL. Questo consente a attaccatori non autenticati di eseguire comandi SQL arbitrari e ottenere una sessione di amministratore, compromettendo completamente l'installazione WordPress.

Il punteggio CVSS è 9,8 critical, il più alto grado di severità. Non è richiesta autenticazione e l'accesso alla rete è sufficiente. Lo stato è critico: la vulnerabilità è stata pubblicata su NVD il 2026-11-06 e sono già segnalati repository pubblici che contengono proof-of-concept ed exploit funzionanti. Questo significa che il codice di attacco è potenzialmente già in circolazione.

Gli amministratori devono agire con urgenza. Primo: verificare se il plugin GS JWT Authentication è installato. Se non è essenziale, disabilitarlo immediatamente. Secondo: monitorare gli account amministratore per accessi sospetti e verificare i log della REST API per attività non autorizzata. Terzo: mantenersi informati sulle patch dal vendor e applicarle non appena disponibili. Quarto: considerare di aggiungere firewall applicativo (WAF) con regole per SQL injection su rotte REST.