Pubblicato il 2026-07-11 · Fonte: NVD NIST
La vulnerabilità CVE-2026-13353 colpisce il plugin WP Ultimate CSV Importer per WordPress, consentendo l'esecuzione di codice remoto (RCE) a causa di controlli di capacità mancanti e di un nonce esposto. Ciò consente a utenti autenticati con accesso di livello subscriber di installare addon, persistere espressioni PHP controllate dall'attaccante e triggerare la valutazione tramite eval(). La versione interessata è fino alla 8.0.1.
Un attaccante autenticato con accesso di livello subscriber o superiore può sfruttare questa vulnerabilità per eseguire codice arbitrario sul server, potenzialmente portando a violazioni dei dati, modifiche non autorizzate o altri attacchi. I sistemi a rischio sono quelli che utilizzano il plugin WP Ultimate CSV Importer in versioni fino alla 8.0.1.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare il plugin WP Ultimate CSV Importer alla versione più recente disponibile. Inoltre, è importante limitare l'accesso agli utenti autenticati e implementare controlli di sicurezza aggiuntivi per prevenire abusi. Se l'aggiornamento non è possibile, si possono valutare workaround come la disabilitazione del plugin o la limitazione dell'accesso alle funzionalità vulnerabili.
La vulnerabilità CVE-2026-13353 è una vulnerabilità di esecuzione di codice remoto (RCE) nel plugin WP Ultimate CSV Importer per WordPress.
Il punteggio CVSS della vulnerabilità CVE-2026-13353 è 8.8, classificato come alto.
Per proteggersi, è consigliabile aggiornare il plugin WP Ultimate CSV Importer alla versione più recente disponibile e implementare controlli di sicurezza aggiuntivi per limitare l'accesso agli utenti autenticati.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.