home / blog
2026-11-06 · critica
CVE-2026-118423: RCE in WP Libre Form WordPress Plugin 1.5.0.1
WP Libre Form 1.5.0.1 non valida i file caricati: RCE non autenticata. CVSS 10,0 critical.
Il CVE-2026-118423 riguarda il plugin WordPress WP Libre Form nella versione 1.5.0.1. La falla risiede nella mancanza di validazione del tipo di file durante il caricamento tramite i form del plugin. Attaccanti non autenticati possono caricare file PHP direttamente in posizioni accessibili dal web e ordinarli al server di eseguirli, ottenendo l'esecuzione di codice remoto completo sul sistema.
La gravità è massima: il punteggio CVSS è 10,0, confermato come critical. La falla è stata pubblicata su NVD il 2026-11-06. Ad oggi, secondo i dati disponibili, non esiste patch ufficiale. I segnali pubblici mostrano due post su X nelle ultime 24 ore che discutono l'assenza di fix, con un totale di 7 interazioni. Non sono stati dichiarati exploit pubblici su repository GitHub.
Se il plugin WP Libre Form è installato su siti gestiti, è necessario disabilitarlo immediatamente fino a quando una patch non sia disponibile. Controllare i log di accesso al web server per richieste POST sospette ai percorsi di upload del plugin e nei file caricati per la presenza di script PHP anomali. Verificare con regolarità il repository ufficiale del plugin e i canali di comunicazione del fornitore per annunci di fix.
In sintesi
- Cosa
- WP Libre Form WordPress plugin versione 1.5.0.1 non valida il tipo di file caricati tramite i form. Attaccanti non autenticati caricano file PHP in posizioni accessibili dal web ed eseguono il codice remoto sul server.
- Gravità
- CVSS 10,0 (critical). La falla consente esecuzione di codice remoto non autenticata su qualunque installazione del plugin interessato.
- Versioni interessate
- WP Libre Form 1.5.0.1
- Correzione
- Non ancora disponibile secondo i segnali pubblici verificati. Monitorare il canale ufficiale del plugin per aggiornamenti.
- Stato
- Pubblicato su NVD il 2026-11-06. Gravità dichiarata: critical. Due post su X in 24 ore, sette interazioni totali. Nessun exploit GitHub dichiarato.
- Azione
- Se il plugin è installato, disabilitarlo immediatamente. Verificare nei log di accesso e file caricati tracce di upload PHP sospetti. Monitorare la versione per patch di sicurezza.
Fonti: NVD, CVE-2026-118423