CVE-2026-119096: Bypass Autenticazione in Uncanny Toolkit

Il CVE-2026-119096 è un bypass di autenticazione nel plugin Uncanny Toolkit for LearnDash fino alla versione 3.8.2. La falla sfrutta una differenza di parsing tra due operazioni: il controllo di verifica usa il valore grezzo e non sanificato dell'email nella ricerca utente, mentre la successiva autenticazione applica una sanitizzazione di WordPress. Questa differenza consente di saltare il gate di approvazione account e accedere ad account non verificati o sospesi.

Il punteggio CVSS è 9,8 (critical). La vulnerabilità è stata divulgata il 31 ottobre 2026 e già discussa attivamente su social network nelle ultime 24 ore, con sottolineatura del rischio di priorità alta. Non è riportato uno stato di patch disponibile nei dati ufficiali, quindi l'aggiornamento a una versione successiva deve essere verificato presso il vendor. La falla richiede solo la conoscenza delle credenziali della vittima e il nonce è liberamente ottenibile dalla stessa richiesta di login.

Per le aziende: verificare se il plugin Uncanny Toolkit è installato e attivo; se sì, controllare la versione e aggiornare immediatamente se disponibile. Revisionare i log di accesso del sito per identificare account non verificati o sospesi che hanno fatto login di recente, segno possibile di sfruttamento. Implementare monitoraggio su log di fallimento autenticazione e accesso da account non approvati. Per gli amministratori: considerare di disabilitare il plugin fino a una patch ufficiale, se l'aggiornamento non è disponibile.