Una falla critica nel plugin GiveWP per WordPress consente a malintenzionati non autenticati di eseguire comandi arbitrari sul server. Il problema, che interessa le versioni fino alla 4.16.7.1, è stato risolto con l'aggiornamento 4.16.7.2.
Una vulnerabilità di massima gravità è stata individuata nel plugin GiveWP per WordPress, utilizzato da oltre 100.000 siti per la raccolta di donazioni e la gestione di campagne di fundraising. La falla, identificata come CVE-2026-82222, permette a un attaccante non autenticato di eseguire comandi arbitrari sul server che ospita il sito. Il ricercatore Udin Chan ha segnalato il problema il 28 luglio tramite la piattaforma Patchstack.
Come funziona l'attacco e quali siti sono a rischio
Secondo gli esperti di Patchstack, l'exploit sfrutta una catena di tre vulnerabilità: un helper insicuro per l'unserialize di dati PHP, un flusso di elaborazione delle donazioni che salva oggetti serializzati controllati dall'attaccante e una gadget chain nelle librerie del plugin in grado di invocare comandi di sistema. Sebbene l'attacco richieda un account sul sito, GiveWP espone un'azione di registrazione non autenticata (give_action=user_register) che ignora le impostazioni di WordPress e consente la creazione di nuovi account anche se la registrazione è disabilitata.
Dopo aver ottenuto l'autenticazione, l'attaccante può salvare un oggetto serializzato malevolo nel proprio profilo e iniettarlo nel database delle sessioni del plugin tramite una donazione manipolata. Come spiega George Johnstone di Patchstack, il server scrive l'oggetto nella tabella wp_give_sessions e, alla successiva richiesta di una pagina con il cookie di autenticazione, deserializza l'oggetto ed esegue il comando dannoso.
Versioni vulnerabili e condizioni di rischio
Le versioni dalla 4.16.6 alla 4.16.7.1 di GiveWP restano vulnerabili, ma l'exploit è possibile solo se il sito utilizza un modulo donazione legacy privo di 'formBuilderSettings'. Questa condizione può verificarsi su installazioni aggiornate, siti che usano l'editor basato su opzioni o dopo l'importazione di moduli più vecchi.
Correzione e raccomandazioni per gli amministratori
Il team di GiveWP ha risolto la vulnerabilità con la versione 4.16.7.2, rilasciata il 27 agosto, bloccando i dati serializzati durante l'elaborazione delle donazioni e limitando la creazione di oggetti nei punti di deserializzazione. L'aggiornamento elimina anche i payload già presenti nei database compromessi. Tuttavia, Patchstack segnala che l'azione di registrazione di GiveWP continua a ignorare le impostazioni di WordPress, anche se questa falla non è più sfruttabile per eseguire codice.
Gli amministratori di siti che utilizzano GiveWP sono invitati ad aggiornare immediatamente il plugin per prevenire attacchi legati a CVE-2026-82222. Episodi simili hanno già coinvolto plugin WordPress: ad esempio, una recente vulnerabilità zero-day su Windows ha richiesto un intervento tempestivo di Microsoft per evitare escalation di privilegi.
Precedenti attacchi e impatto sulla sicurezza
Nel 2023, GiveWP era già stato preso di mira da hacker che, sfruttando il plugin, sono riusciti a compromettere indirettamente Pi-hole, esponendo i dati di 30.000 donatori tra cui nomi ed email. Questo nuovo episodio sottolinea l'importanza di mantenere aggiornati i plugin e monitorare costantemente le vulnerabilità note.
