home / blog
2026-11-07 · critica
CVE-2026-107622: BuddyForms Privilege Escalation a Full Site Takeover
Escalation di privilegi in BuddyForms ≤ 2.10.5. Creazione account admin e takeover del sito.
La vulnerabilità CVE-2026-107622 colpisce il plugin BuddyForms per WordPress. Un attacker non autenticato può sfruttare una form-type confusion nel parametro bf_post_type per inserire una configurazione di form malevola nel registro globale. Questa falla consente di creare un account WordPress con privilegi amministrativi senza autenticazione, portando al completo controllo del sito.
La gravità è critica (CVSS 9,8). Lo sfruttamento è possibile perché il gestore di invio del form autorizza i submit di utenti non registrati basandosi solo sul flag public_submit, mentre il tipo di post è determinato dal valore bf_post_type fornito dall'attacker. Lo sfruttamento richiede che il sito WordPress abbia Anyone can register abilitato e almeno una forma BuddyForms pubblica su una pagina, entrambe configurazioni standard. La vulnerabilità è stata pubblicata il 2026-11-06 e i segnali su X confermano che è già nota pubblicamente.
Come difesa: 1) Aggiornare immediatamente BuddyForms a una versione successiva alla 2.10.5 non appena disponibile. 2) Se l'aggiornamento non è ancora disponibile, disabilitare temporaneamente la registrazione pubblica via forme di BuddyForms o limitare l'accesso dei non autenticati. 3) Verificare i log di accesso per rilevare tentativi di sfruttamento e invii di form sospetti. 4) Monitorare gli account utente appena creati per identificare account amministratori non autorizzati.
In sintesi
- Cosa
- Il plugin BuddyForms per WordPress contiene una vulnerabilità di privilege escalation (CVE-2026-107622) causata da una form-type confusion nel parametro bf_post_type. Un attacker non autenticato può inserire una configurazione di form malevola nel registro globale e creare un account WordPress con privilegi amministrativi attraverso un modulo di registrazione pubblico.
- Gravità
- CVSS 9,8 (Critical). Consente il pieno controllo del sito: creazione account amministratore, accesso senza autorizzazione, modifica contenuti, esecuzione codice arbitrario.
- Versioni interessate
- Tutte le versioni del plugin BuddyForms fino a e inclusa la 2.10.5.
- Correzione
- Non riportato nei dati consultati. Aggiornare il plugin alla versione più recente disponibile oltre la 2.10.5 non appena resa disponibile.
- Stato
- Pubblicato su NVD il 2026-11-06. I segnali su X (4 post nelle ultime 24 ore, ultimo 2026-11-07) confermano consapevolezza pubblica della vulnerabilità.
- Azione
- Verificare immediatamente BuddyForms e aggiornare a versione successiva a 2.10.5. Se l'aggiornamento non è disponibile, disabilitare temporaneamente la registrazione pubblica via forme di BuddyForms o limitare l'accesso ai non autenticati. Monitorare i log per tentativi di sfruttamento.
Fonti: NVD, CVE-2026-107622