CVE-2026-88800: Eliminazione di ruoli WordPress non autenticata

CVSS 9,1: eliminazione non autenticata di ruoli WordPress incluso amministratore. Perdita permanente di accesso.

Il CVE-2026-88800 interessa i plugin WordPress MDJM Event Management e Mobile Events Manager fino alla versione 1.7.8.7. Una falla di logic consente a chiunque, anche non autenticato, di inviare una richiesta che elimina qualsiasi ruolo WordPress. Il meccanismo di protezione legge un parametro della richiesta per verificare se il ruolo ha utenti assegnati, ma il codice che esegue l'eliminazione legge un parametro diverso, consentendo il bypass. Il risultato è la rimozione permanente di ruoli critici come amministratore, privando gli utenti di ogni accesso e capacità.

La vulnerabilità ha un punteggio CVSS di 9,1 con gravità dichiarata critical. È stata pubblicata il 2026-11-06. Due post su X nelle ultime 24 ore hanno segnalato la vulnerabilità, generando interazioni e indicando consapevolezza nel pubblico di sicurezza. Al momento della pubblicazione non è stato identificato alcun exploit pubblico. I fornitori non hanno ancora rilasciato una patch, secondo i segnali disponibili.

Gli amministratori WordPress devono disabilitare immediatamente i plugin MDJM Event Management e Mobile Events Manager. Controllare il database WordPress per verificare se i ruoli sono stati modificati o eliminati. Verificare nei log di audit qualsiasi tentativo di accesso o modifica dei ruoli negli ultimi giorni. Tenere sotto controllo i canali ufficiali dei plugin e la pagina NVD per l'annuncio della patch. Una volta disponibile, pianificare un test su un ambiente non di produzione prima di applicare l'aggiornamento in produzione.

In sintesi

Cosa: I plugin MDJM Event Management e Mobile Events Manager (versioni ≤1.7.8.7) processano richieste di eliminazione di ruoli su ogni caricamento di pagina senza controlli di capacità e senza nonce. Un disallineamento tra il controllo di protezione e il codice che effettua l'eliminazione consente a un attaccante non autenticato di rimuovere qualsiasi ruolo, includendo l'amministratore.
Gravità: CVSS 9,1 (critical). L'impatto è diretto su confidenzialità (esposizione di ruoli), integrità (modifica dei ruoli) e disponibilità (perdita di accesso amministrativo).
Versioni interessate: MDJM Event Management e Mobile Events Manager, versioni attraverso 1.7.8.7.
Correzione: Non riportato nelle fonti disponibili al momento della pubblicazione (2026-11-06).
Stato: CVE pubblicato il 2026-11-06. Segnali su X confermano la consapevolezza pubblica della vulnerabilità. Nessun exploit pubblico identificato al momento.
Azione: Disabilitare immediatamente i plugin MDJM Event Management e Mobile Events Manager se installati. Verificare i ruoli WordPress nel database per accertare modifiche non autorizzate. Monitorare il sito per accessi anomali. Attendere una patch ufficiale prima di riattivare i plugin.

Fonti: NVD, CVE-2026-88800

← Tutti gli articoli