CVE-2026-62048: SQL Injection in BookIt WordPress Plugin

Il CVE-2026-62048 è una vulnerabilità di SQL Injection scoperta nel plugin BookIt di Liquid Web / StellarWP, utilizzato in WordPress per la gestione di prenotazioni e appuntamenti. Un attaccante potrebbe sfruttarla per iniettare comandi SQL diretti nel database, compromettendo i dati di clienti, calendari, pagamenti e qualsiasi informazione sensibile memorizzata. Il plugin BookIt è diffuso nei siti che offrono servizi di prenotazione online.

La vulnerabilità è stata assegnata un punteggio CVSS di 9,3, classificandola come Critical. Questo punteggio indica un rischio elevatissimo: l'accesso e la manipolazione del database rappresenta la compromissione più grave possibile per un sito WordPress. La vulnerabilità interessa tutte le versioni da quella iniziale fino alla 2.6.0.6. Segnali su X (non verificati come fonti tecniche) indicano che la comunità sta già discutendo della falla, sebbene non sia ancora confermato se esista sfruttamento attivo o se una patch ufficiale sia disponibile.

L'azione immediata per i team IT è verificare l'installazione di BookIt con il comando wp plugin list o tramite il pannello di amministrazione WordPress. Se il plugin è attivo, contattare urgentemente Liquid Web / StellarWP per richiedere lo stato della patch. Nel frattempo, se BookIt non è essenziale per l'operatività, disabilitarlo è la scelta più sicura. Una volta disponibile una patch verificata, l'aggiornamento deve essere prioritario. Implementare inoltre monitoraggio dei log di accesso al database per rilevare anomalie.

Ricordiamo che le SQL Injection rimangono tra le vulnerabilità più critiche in ambienti web: consentono accesso diretto ai dati sensibili senza richiedere credenziali. Questo CVE colpisce un plugin che opera sul database WordPress, aumentando il perimetro di rischio per tutti i siti che lo utilizzano. La prontezza dell'aggiornamento è essenziale.