CVE-2026-95597: Autorizzazione Mancante in PGALL for WooCommerce

CVE-2026-95597 identifica una vulnerabilità di Missing Authorization nel plugin PGALL for WooCommerce per WordPress. La falla consente l'accesso non autenticato alle impostazioni di configurazione del sistema di pagamento, potenzialmente esponendo chiavi API e parametri critici senza autenticazione. Il difetto risiede in controlli di accesso configurati in modo errato che non validano adeguatamente le autorizzazioni dell'utente.

Il punteggio CVSS è 6,5 (medium), classificato come vulnerabilità di media gravità ma con impatto significativo per e-commerce che usano questo plugin. Il CVE è stato pubblicato il 9 ottobre 2026 e da oggi 7 novembre 2026 è disponibile una prova di concetto pubblica su repository GitHub. L'accesso non autenticato alle impostazioni rappresenta un segnale coerente di rischio operativo e di confidenzialità dei dati sensibili. La coerenza tra la descrizione ufficiale NVD e i segnali pubblici conferma il rischio concreto.

Per i sysadmin e team IT: verificare immediatamente quale versione di PGALL for WooCommerce è installata. Se versione 5.5.17 o inferiore, aggiornare al rilascio di patch. Implementare restrizioni WAF sugli endpoint di configurazione del plugin, limitare accesso da indirizzi IP conosciuti e richiedere autenticazione aggiuntiva per modifiche alle impostazioni. Monitorare i log per accessi anomali al plugin e considerare di disabilitare temporaneamente il modulo fino al rilascio della patch.