CVE-2026-14900: RCE in Cost Calculator Builder PRO

Falla critical in Cost Calculator Builder PRO WordPress fino a 4.0.3 permette RCE unauthenticated. CVSS 9,8.

Il CVE-2026-14900 colpisce il plugin Cost Calculator Builder PRO per WordPress in tutte le versioni fino a 4.0.3. La vulnerabilità consiste in insufficiente sanitizzazione del campo orderDetails[*].originalValue, iniettato senza controllo in una stringa di formula calcolatrice passata a PHP eval() nella funzione js_to_php(). La lista di allow-filtering in evaluateFormula() non blocca caratteri non-alfanumerici, consentendo a utenti non autenticati di eseguire codice arbitrario sul server.

La gravità è massima: CVSS 9,8 in categoria critical. L'unica protezione è un controllo nonce, ma il nonce richiesto è emesso pubblicamente su ogni pagina front-end tramite wp_head hook, rendendolo acquisibile per qualsiasi visitatore non autenticato. Segnali su piattaforme pubbliche di ricerca indicano interesse attivo su questa falla a partire da novembre 2026.

L'azione difensiva è immediata: aggiornare il plugin oltre la versione 4.0.3. Verificare i log di amministrazione WordPress (_access.log, error.log, audit log dei plugin di sicurezza) per pattern di richieste anomale verso js_to_php tra luglio e novembre 2026. Implementare Web Application Firewall (WAF) con regole specifiche per bloccare payload XOR verso questo plugin in attesa di aggiornamento.

In sintesi

Cosa: Insufficiente sanitizzazione del campo orderDetails[*].originalValue consente injection nella formula calcolatrice, eseguita tramite PHP eval() nella funzione js_to_php(). La lista di allow-list in evaluateFormula() non blocca caratteri non-alfanumerici.
Gravità: CVSS 9,8 (critical). Consente esecuzione codice arbitrario lato server da utente non autenticato, massimo impatto.
Versioni interessate: Cost Calculator Builder PRO fino a versione 4.0.3 (inclusa).
Correzione: Non riportato nella documentazione NVD a quale versione è stata risolta. Verificare con il vendor per versioni successive a 4.0.3.
Stato: Falla pubblicata su NVD il 29 luglio 2026. Segnali di ricerca tecnica su piattaforme pubbliche presenti a novembre 2026.
Azione: Aggiornare immediatamente il plugin oltre 4.0.3. Verificare log WordPress per richieste anomale verso js_to_php tra luglio-novembre 2026. Implementare WAF per bloccare payload XOR verso il plugin in attesa di aggiornamento.

Fonti: NVD, CVE-2026-14900

← Tutti gli articoli