CVE-2026-119075: Escalazione Amministratore WooCommerce

Il CVE-2026-119075 riguarda il plugin Registration Form for WooCommerce per WordPress (versioni fino a 1.1.4). Una falla di privilege escalation permette a utenti non autenticati di elevare i propri diritti a Amministratore durante la registrazione al checkout, fornendo il parametro user_roles=administrator senza alcun controllo di validazione. Il risultato è l'accesso amministrativo completo al sito.

La vulnerabilità ha un punteggio CVSS di 9,8 (critical). La falla esiste nel percorso di registrazione checkout (funzione validate_checkout_fields()) che non applica il controllo allow-list presente nel percorso My Account (validate_fields()). Il codice legge direttamente il valore grezzo da $_POST['user_roles'] e lo inietta in woocommerce_new_customer_data senza filtri. È stata segnalata contemporaneamente su X da fonti di settore.

Gli amministratori devono aggiornare il plugin Registration Form for WooCommerce alla versione corretta non appena disponibile. Nel frattempo, disabilitare il modulo di registrazione al checkout o applicare un Web Application Firewall per bloccare richieste POST contenenti il parametro user_roles nei percorsi di checkout. Monitorare i log di accesso per rilevare account con ruolo Amministratore creati di recente senza autorizzazione.

WooCommerce è una delle piattaforme e-commerce più diffuse su WordPress. Il plugin Registration Form amplifica l'esposizione consentendo la registrazione rapida al checkout, rendendo la vulnerabilità potenzialmente sfruttabile su migliaia di negozi online non aggiornati tempestivamente.