CVE-2026-120070: Escalazione Privilegi in User Frontend

CVE-2026-120070 è una vulnerabilità di escalazione privilegi nel plugin User Frontend per WordPress. La falla sfrutta un bypass nella blocklist della protezione di shortcode: attaccanti autenticati con accesso a livello Subscriber possono iniettare shortcode [wpuf-registration] con attributo role="editor" nei post pubblicati, eludendo i controlli di sanitizzazione. Il meccanismo di bypass utilizza byte C0 di controllo per evitare il controllo strpos() sulla lista di blocco, permettendo lo shortcode dannoso di essere salvato correttamente nel database e reso disponibile sul frontend pubblico.

La vulnerabilità ha un punteggio CVSS di 8,8 (high). L'impatto è concreto: quando l'impostazione autologin_after_registration è abilitata (configurazione di default), chiunque submetta il modulo di registrazione diventa immediatamente un account Editor con accesso completo al backend WordPress. Discussioni su Twitter/X confermano i dettagli tecnici pubblicamente (2 post nelle ultime 24 ore). Non sono stati segnalati exploit pubblici su repository GitHub, ma il CVE è stato divulgato il 31 ottobre 2026 ed è sottoposto ad attento monitoraggio dalla comunità di sicurezza.

I team IT e sysadmin devono agire immediatamente: verificare la versione del plugin User Frontend su tutti i siti WordPress gestiti. Se vulnerabile (versione ≤ 4.3.13), disabilitare il plugin fino alla disponibilità di una patch verificata. Revisionare la configurazione di autologin_after_registration e disabilitarla se non strettamente necessaria. Controllare i post per shortcode sospetti, specialmente da account Subscriber. Implementare WAF rules per bloccare iniezioni di shortcode nei parametri POST. Monitorare i log di autenticazione per creazioni anomale di account Editor.