Pubblicato il 2026-08-01 · Fonte: NVD NIST
La vulnerabilità CVE-2026-15988 è una vulnerabilità di Cross-Site Request Forgery (CSRF) presente nel plugin The AI Engine per WordPress, che colpisce tutte le versioni fino alla 3.6.5. Ciò è dovuto alla mancanza o all'errata convalida dei nonce nella funzione reauth_for_authorize. Un attaccante non autenticato può creare nuovi account amministratore con credenziali fornite dall'attaccante stesso, sfruttando la vulnerabilità CSRF. La gravità di questa vulnerabilità è alta, con un CVSS Score di 8.8.
Un attaccante può sfruttare questa vulnerabilità per creare nuovi account amministratore con credenziali scelte dall'attaccante, senza necessità di avere un account esistente. Ciò può essere fatto combinando la vulnerabilità CSRF con il supporto di method-override di WordPress, che consente di convertire una richiesta GET in una richiesta POST autenticata all'endpoint degli utenti REST. Questo può avere gravi conseguenze per la sicurezza del sito web, poiché un attaccante può ottenere accesso non autorizzato e compiere azioni dannose.
Vendor: N/A
Prodotti: N/A
Per mitigare questa vulnerabilità, si consiglia di aggiornare il plugin The AI Engine alla versione più recente disponibile, che dovrebbe includere la correzione per la vulnerabilità CSRF. Inoltre, è importante implementare pratiche di sicurezza generali, come l'utilizzo di token di convalida CSRF e la limitazione dell'accesso agli endpoint sensibili. È anche raccomandato monitorare regolarmente il sito web per rilevare eventuali attività sospette e intrusi.
La vulnerabilità CVE-2026-15988 è una vulnerabilità di Cross-Site Request Forgery (CSRF) presente nel plugin The AI Engine per WordPress.
Il CVSS Score di questa vulnerabilità è 8.8, che indica un livello di gravità alto.
Per proteggersi da questa vulnerabilità, è necessario aggiornare il plugin The AI Engine alla versione più recente disponibile e implementare pratiche di sicurezza generali, come l'utilizzo di token di convalida CSRF e la limitazione dell'accesso agli endpoint sensibili.
Vuoi approfondire la cybersecurity? Scopri il libro "Ethical Hacker per Tutti" oppure prenota una lezione online.