home / blog
2026-10-31 · critica
CVE-2026-103882: Eliminazione file su plugin WordPress Acadlix
Plugin WordPress vulnerabile a eliminazione file arbitraria fino a v1.1.9. Gravità critical CVSS 9,1.
Il CVE-2026-103882 è una vulnerabilità di eliminazione arbitraria file nel plugin WordPress Acadlix LMS – AI Quiz Maker, Online Exam & Course. La funzione post_delete_assessment_file_by_id non valida correttamente il percorso del file, permettendo di eliminare file critici dal server incluso wp-config.php, con conseguente accesso remoto al codice. Tutte le versioni fino alla 1.1.9 sono interessate.
La vulnerabilità ha punteggio CVSS 9,1, classificata critical. Il controllo di autenticazione della rotta REST è compromesso: il plugin emette un nonce generico pubblicamente visibile in ogni pagina frontend dentro l'oggetto JavaScript acadlixOptions, riducendo effettivamente il requisito di autenticazione a unauthenticated. Pubblicata il 31 ottobre 2026, i segnali da X confermano consapevolezza attiva della vulnerabilità nella comunità.
I difensori devono aggiornare immediatamente il plugin Acadlix LMS alla versione successiva a 1.1.9 non appena disponibile. Fino a quel momento, proteggere file critici come wp-config.php mediante configurazione a livello server. Disabilitare il plugin rappresenta un'opzione di mitigazione tempestiva se l'aggiornamento non è immediatamente praticabile. Controllare i log REST API per rilevare tentativi di sfruttamento.
In sintesi
- Cosa
- CVE-2026-103882: la funzione post_delete_assessment_file_by_id del plugin Acadlix LMS per WordPress non valida il percorso dei file, permettendo l'eliminazione di file arbitrari dal server incluso wp-config.php, con potenziale accesso remoto al codice.
- Gravità
- CVSS 9,1 - Critical. Il nonce di autenticazione REST è emesso pubblicamente dentro l'oggetto JavaScript acadlixOptions visibile in ogni pagina frontend, degradando l'autenticazione a unauthenticated.
- Versioni interessate
- Tutte le versioni fino a e incluso 1.1.9
- Correzione
- Non riportato. Aggiornare il plugin non appena una versione corretta sia disponibile.
- Stato
- Pubblicato 31 ottobre 2026. Segnalazioni attive su X confermano diffusione della consapevolezza della vulnerabilità nella comunità.
- Azione
- Aggiornare immediatamente il plugin alla versione successiva 1.1.9. Proteggere file critici via configurazione server. Disabilitare il plugin se aggiornamento non immediatamente possibile. Monitorare log REST API per rilevare tentativi di sfruttamento.
Fonti: NVD, CVE-2026-103882