CVE-2026-96838: CSRF Critico in Blacklist Manager per WooCommerce

Il CVE-2026-96838 identifica una vulnerabilità di Cross Site Request Forgery (CSRF) non autenticata nel plugin Blacklist Manager – WooCommerce Anti-Fraud, Blacklist & Checkout Verification, nelle versioni fino a 2.3.1. La falla permette a un attaccante di eseguire azioni non autorizzate attraverso richieste falsificate senza bisogno di credenziali, colpendo potenzialmente migliaia di negozi ecommerce che utilizzano questo plugin per la prevenzione delle frodi e la verifica al checkout.

La vulnerabilità è valutata con CVSS 8,8, classificazione High, poiché consente un impatto significativo con limitata complessità di attacco. Il National Vulnerability Database (NVD) ha pubblicato la segnalazione il 30 settembre 2026. È stato confermato che esiste un proof-of-concept pubblico su repository GitHub, come riportato dal segnale del 7 novembre 2026. Questo indica che la vulnerabilità è accessibile ad attaccanti e le difese devono essere attivate immediatamente.

Amministratori e team IT devono verificare urgentemente quali istanze di WooCommerce eseguono Blacklist Manager in versione 2.3.1 o precedente e procedere con l'aggiornamento a una versione più recente non appena disponibile. È consigliabile monitorare i log di accesso e le attività sospette sul checkout di WooCommerce, incluse modifiche alle configurazioni di sicurezza o liste nere che non coincidono con azioni documentate. Consultare gli alert dei fornitori e pianificare il rollout degli aggiornamenti di sicurezza in modo prioritario.