Pubblicato il 2026-08-01 · Fonte: NVD NIST
La vulnerabilità CVE-2026-15414 colpisce il plugin Subscriptions for WooCommerce per WordPress, consentendo un'escalation di privilegi. Ciò avviene a causa della funzione `save_meta_boxes()` che persiste i dati di meta senza un elenco di controllo che escluda ruoli privilegiati. La vulnerabilità è classificata come alta, con un punteggio CVSS di 8.8. La versione interessata è fino alla 2.0.0 del plugin.
Un attaccante autenticato con accesso di livello Contributor o superiore può sfruttare questa vulnerabilità per escalationare i propri privilegi a quelli di Amministratore. Ciò può avvenire memorizzando il ruolo 'administrator' come ruolo concesso all'acquisizione dell'iscrizione, che il plugin companion Subscriptions for WooCommerce Pro applicherà poi tramite `add_role()` durante gli eventi del ciclo di vita dell'iscrizione. I sistemi a rischio sono quelli che utilizzano il plugin Subscriptions for WooCommerce e il suo plugin companion Pro.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare il plugin Subscriptions for WooCommerce alla versione più recente disponibile. Inoltre, è importante monitorare le attività degli utenti e limitare l'accesso ai ruoli privilegiati. Se non è possibile aggiornare immediatamente, si possono adottare misure di sicurezza generiche come il rafforzamento delle password e la limitazione dell'accesso ai sistemi sensibili.
La vulnerabilità CVE-2026-15414 è un problema di escalation di privilegi nel plugin Subscriptions for WooCommerce per WordPress.
Un attaccante autenticato può sfruttare questa vulnerabilità per escalationare i propri privilegi a quelli di Amministratore.
Per proteggersi, si consiglia di aggiornare il plugin Subscriptions for WooCommerce alla versione più recente disponibile e adottare misure di sicurezza generiche come il rafforzamento delle password e la limitazione dell'accesso ai sistemi sensibili.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.