CVE-2026-39732: SQL Injection nel Plugin Transliterator

CVE-2026-39732 è una vulnerabilità di SQL injection senza autenticazione riportata nel plugin WordPress Transliterator in tutte le versioni fino a 2.5.13. Un utente non autenticato può sfruttare questa falla per inviare query SQL dirette al database, compromettendo l'integrità e la riservatezza dei dati. Ogni sito WordPress che utilizza questo plugin è esposto al rischio di accesso esterno non autorizzato.

La vulnerabilità ha un punteggio CVSS di 9,3, classificata come critica. Il CVE è stato pubblicato il 30 ottobre 2026 dal National Vulnerability Database. Dal 7 novembre 2026 è disponibile pubblicamente una versione dimostrativa dell'exploit su repository GitHub, il che aumenta significativamente il rischio di attacchi diffusi. Non è confermato se la falla sia già sfruttata attivamente in campagne di attacco nel campo reale.

Gli amministratori devono aggiornare immediatamente il plugin Transliterator oltre la versione 2.5.13, non appena una versione patch è disponibile dal fornitore. Nel frattempo, è consigliato disabilitare il plugin se non è essenziale. Verificare i log di accesso del database e dei file per rilevare eventuali query SQL sospette o accessi non autorizzati. Monitorare gli avvisi di sicurezza dal fornitore del plugin per istruzioni di patch definitive.