CVE-2026-121379: Tournamatch WordPress plugin elimina file

Il CVE-2026-121379 riguarda il plugin Tournamatch per WordPress, diffusissimo per la gestione di tornei e competizioni. La vulnerabilità è una arbitrary file deletion: il plugin consente a qualunque utente con ruolo Subscriber (quello più basso, spesso assegnato a moderatori, giocatori o partecipanti) di eliminare file arbitrari dal server durante il caricamento di immagini di profilo o team. Non valida il percorso del file da eliminare, rendendo possibile la cancellazione di file critici come wp-config.php, config di plugin, backup e qualsiasi altro file raggiungibile dal processo PHP.

Il punteggio CVSS è 9,6 Critical. La vulnerabilità è stata resa pubblica il 7 novembre 2026 su NVD. I segnali su X mostrano due post nelle ultime 24 ore con 5 interazioni totali: livello di discussione ancora basso ma coerente con una vulnerabilità freschissima. La patch è disponibile subito: la versione 4.7.1 corregge il difetto. Non sono stati riportati exploit pubblici, ma data la semplicità e la criticità della falla, l'attenzione è alta tra i ricercatori.

Se gestisci un sito WordPress con Tournamatch: verifica la versione corrente (Dashboard > Plugin), se inferiore a 4.7.1 aggiorna immediatamente tramite la dashboard, dopo l'aggiornamento verifica che le funzioni di caricamento immagine funzionino. Se non utilizzi Tournamatch, ignora l'avviso. Per i CISO e team IT: includi Tournamatch nei monitoring di patch management e considerate un controllo sui log di accesso e cancellazione file nei giorni scorsi.