CVE-2026-93754: RCE in payever WooCommerce Gateway

Upload arbitrario e RCE nel plugin payever WooCommerce Gateway fino alla versione 4.8.0. CVSS 9,8 critical.

Il CVE-2026-93754 descrive una vulnerabilità di upload arbitrario e RCE nel plugin payever – WooCommerce Gateway. Tre callback WooCommerce (payever_set_sandbox_api_keys, payever_toggle_subscription, payever_synchronization_incoming) sono registrati senza autenticazione, capability check o nonce. La routine upload_image() scrive file scaricati da remoto nella directory uploads usando basename() attacker-controlled PRIMA della validazione del tipo, permettendo a attaccanti non autenticati di scrivere un file PHP eseguibile e ottenere RCE.

La vulnerabilità ha CVSS 9,8 (critical). Pubblicata su NVD il 7 novembre 2026, colpisce il plugin fino alla versione 4.8.0 inclusa e non richiede autenticazione. Tre post sui social nelle ultime 24 ore discussero il CVE; ancora nessuna patch è disponibile. L'assenza di protezioni (nonce, autenticazione, capability check) insieme alla RCE rende questa una minaccia immediata per qualsiasi installazione WordPress che usi questo plugin.

Disabilitare o rimuovere il plugin immediatamente. Monitorare la directory uploads e i log dell'API WooCommerce per attività sospette, cercando POST requests ai tre endpoint vulnerabili. Se disponibile, usare WAF per bloccare richieste a payever_set_sandbox_api_keys, payever_toggle_subscription, payever_synchronization_incoming. Controllare il file system per file PHP creati di recente e verificare se il server è stato compromesso.

In sintesi

Cosa: Upload arbitrario di file PHP senza validazione di tipo. Tre callback WooCommerce (payever_set_sandbox_api_keys, payever_toggle_subscription, payever_synchronization_incoming) non sono protetti da autenticazione, capability check o nonce. La funzione upload_image() scrive file scaricati da remoto nella directory uploads usando basename() controllato dall'attaccante PRIMA della validazione del tipo di file.
Gravità: CVSS 9,8 (critical). Nessuna autenticazione richiesta. Colpisce qualsiasi utente, inclusi non autenticati.
Versioni interessate: Tutte le versioni del plugin payever – WooCommerce Gateway fino alla versione 4.8.0 inclusa.
Correzione: Non riportato.
Stato: Pubblicato su NVD il 7 novembre 2026. Non è disponibile alcuna patch ufficiale secondo i segnali sociali.
Azione: 1) Disabilitare o rimuovere il plugin fino a patch disponibile. 2) Monitorare la directory uploads e i log WooCommerce API. 3) Cercare POST requests ai tre endpoint vulnerabili nei log del server. 4) Implementare WAF rules per bloccare richieste a questi callback. 5) Verificare l'integrità del file system e cercare file PHP sospetti.

Fonti: NVD, CVE-2026-93754

← Tutti gli articoli