CVE-2026-94641: XSS in UsersWP WordPress Plugin

Il CVE-2026-94641 identifica una vulnerabilità di Cross-Site Scripting (XSS) Reflected nel plugin UsersWP per WordPress. La falla permette l'iniezione di codice JavaScript tramite input non neutralizzato durante la generazione di pagine web. Sono interessate versioni di UsersWP fino alla 1.2.73 inclusa. L'impatto riguarda direttamente amministratori di siti WordPress che utilizzano questo plugin per la gestione degli utenti.

La vulnerabilità ha CVSS 7,1 (fascia HIGH), gravità significativa per siti production. Il 2026-11-07 repository GitHub pubblici hanno dichiarato di contenere proof-of-concept della falla. La NVD ha registrato il CVE il 2026-10-09. Non sono disponibili dati ufficiali sulla disponibilità o timeline di patch. Amministratori devono considerare questa priorità operativa immediata, data la natura unauthenticated dell'exploit e la visibilità pubblica.

Verificare immediatamente quale versione di UsersWP è installata. Monitorare il repository ufficiale del plugin per annunci di patch. In attesa di correzione confermata, valutare: disabilitazione temporanea del plugin; implementazione di Web Application Firewall (WAF) rules specifiche per XSS Reflected; restrizione dell'accesso alle funzionalità del plugin a IP fidati. Documentare il rischio negli asset management systems. Attendere comunicazioni dal team di sviluppo del plugin su timeline di patch.