Pubblicato il 2026-06-30 · Fonte: NVD NIST
La vulnerabilità CVE-2026-12240 è stata scoperta nel plugin Export User Data per WordPress, che consente la cancellazione di file arbitrari a causa di una insufficiente validazione del percorso file nella funzione unserialize. Ciò permette ad attaccanti autenticati con accesso di livello subscriber o superiore di cancellare file arbitrari sul server, il che può facilmente portare all'esecuzione di codice remoto se viene cancellato il file giusto, come ad esempio wp-config.php. L'exploit richiede che un amministratore attivi l'esportazione dei dati utente mentre un utente di livello subscriber o superiore ha memorizzato un payload di oggetto XLSXWriter serializzato come nome visualizzato.
Un attaccante può sfruttare questa vulnerabilità per cancellare file importanti sul server, come ad esempio il file di configurazione di WordPress (wp-config.php), il che può portare all'esecuzione di codice remoto e quindi a un controllo completo del sistema. Ciò può avere gravi conseguenze per la sicurezza e l'integrità dei dati.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare il plugin Export User Data alla versione più recente disponibile. Inoltre, è importante limitare l'accesso ai dati sensibili e monitorare le attività sospette sul server. Se non è possibile aggiornare il plugin, si può considerare la disabilitazione della funzionalità di esportazione dei dati utente o l'implementazione di controlli di sicurezza aggiuntivi per prevenire la cancellazione di file arbitrari.
La vulnerabilità CVE-2026-12240 è una vulnerabilità di cancellazione di file arbitraria nel plugin Export User Data per WordPress.
Un attaccante autenticato con accesso di livello subscriber o superiore può sfruttare questa vulnerabilità cancellando file arbitrari sul server, come ad esempio il file di configurazione di WordPress (wp-config.php).
Per proteggersi da questa vulnerabilità, si consiglia di aggiornare il plugin Export User Data alla versione più recente disponibile e di limitare l'accesso ai dati sensibili.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.