CVE-2026-61989: XSS non autenticato in Easy Property Listings ≤ 3.5.25

La vulnerabilità CVE-2026-61989 è una falla di tipo XSS (Cross-Site Scripting) non autenticata nel plugin WordPress Easy Property Listings, che colpisce tutte le versioni fino alla 3.5.25 inclusa. Un attaccante non autenticato può iniettare codice JavaScript dannoso che viene eseguito nel contesto del browser delle vittime. I siti che utilizzano questo plugin e non hanno applicato correzioni di sicurezza rimangono esposti a questo vettore di attacco.

Il punteggio CVSS è 7,1, nella fascia HIGH: mentre non è critico come una RCE, merita attenzione immediata. La vulnerabilità è stata ufficialmente pubblicata su NVD il 2026-10-29. Il fatto che il 2026-11-07 sia reso disponibile pubblicamente un Proof of Concept (PoC) su GitHub amplifica significativamente il rischio di sfruttamento nei prossimi giorni.

Gli amministratori di sistema e i team IT devono verificare con urgenza presso lo sviluppatore ufficiale se una patch è già disponibile. Se la patch è stata rilasciata, l'aggiornamento del plugin è una priorità immediata. Nel frattempo, monitorare i log di accesso e le segnalazioni del WAF (Web Application Firewall) per indicatori di tentati sfruttamenti, come richieste contenenti script o caratteri speciali anomali.

Se l'aggiornamento non è immediatamente possibile per vincoli di compatibilità o di testing, implementare filtri su WAF per bloccare pattern tipici di XSS. Verificare inoltre che le funzioni esposte dal plugin non siano accessibili a visitatori anonimi, ove possibile limitando l'accesso al contesto di back-end autenticato. Disabilitare il plugin temporaneamente se non essenziale per l'operatività.

Mantieni verifiche di integrità dei file del plugin attive, e pianifica un aggiornamento prioritario non appena una patch è disponibile. Documenta lo stato della vulnerabilità nel tuo sistema di ticketing di sicurezza per garantire una traccia della gestione dell'incidente. Comunica il rischio ai stakeholder rilevanti, specialmente se il plugin gestisce dati sensibili di proprietà immobiliare.