Aggiornamenti e vulnerabilità della settimana: GiveWP, Pods e WooCommerce sotto attacco

Quattro CVE su plugin WordPress molto diffusi, tutte uscite nelle ultime settimane, tutte con PoC pubblico o sfruttamento attivo documentato. Chi gestisce hosting condiviso o VPS con installazioni WordPress dei clienti ha un motivo concreto per controllare oggi, 12 ottobre 2026, quali versioni girano sui propri server.

GiveWP: CVE-2026-82222, RCE non autenticata

Il plugin per donazioni GiveWP, installato su oltre 100.000 siti, è vulnerabile fino alla versione 4.16.7.1. La CVE-2026-82222 è una vulnerabilità critica di PHP Object Injection (CWE-502) nel plugin GiveWP per WordPress, che permette ad attaccanti remoti non autenticati di iniettare oggetti PHP malevoli tramite deserializzazione non sicura, sfruttabile per ottenere l'esecuzione di codice remoto. Patchstack assegna un CVSS v3.1 di 10.0. Patchstack attribuisce la scoperta al ricercatore Udin Chan, che ha segnalato il problema il 28 luglio, mentre la correzione è stata rilasciata il 27 agosto. La versione corretta è la 4.16.7.2, che blocca i dati serializzati durante l'elaborazione delle donazioni, limita la creazione di oggetti nei punti di deserializzazione e rimuove in modo proattivo i payload di oggetti serializzati già presenti nei database interessati.

Verifica da riga di comando:

wp plugin list --name=give --field=version
wp plugin update give

Pods: CVE-2026-19598, da zero ad Administrator senza login

Il plugin Pods – Custom Content Types and Fields per WordPress è vulnerabile a escalation di privilegi via bypass di autorizzazione in tutte le versioni fino alla 3.3.9 inclusa. Il CVSS è 9.8. Il problema risiede nel router AJAX pods_admin, che tramite pods_error() ignora tutti i controlli di accesso, i capability gate, la verifica del nonce e il controllo di login quando viene usato il percorso JSON meta-box-loader, permettendo a un attaccante di chiamare metodi amministrativi e persino sovrascrivere le password degli utenti, ottenendo di fatto privilegi di Administrator. Wordfence ha reso pubblico il problema, accreditando Nhien Pham tramite il programma Wordfence Bug Bounty. La correzione è stata rilasciata il 14 agosto nella versione 3.3.9.1, con backport alle versioni 2.8.23.4, 2.9.19.4, 3.0.10.4, 3.1.4.2, 3.2.8.3.

wp plugin list --name=pods --field=version
wp plugin update pods

WooCommerce Wholesale Lead Capture: CVE-2026-27540, upload di file

Secondo il database Patchstack del plugin, è registrata una vulnerabilità di tipo Arbitrary File Upload nelle versioni fino alla 2.0.3.1, patchata il 20 febbraio 2026 (nello stesso aggiornamento è stata corretta anche una Privilege Escalation sulla stessa gamma di versioni). Per i dettagli tecnici completi sul funzionamento dell'exploit rimandiamo alla scheda Patchstack del plugin, non ancora consultabile in forma estesa al momento della chiusura di questo articolo.

wp plugin list --name=woocommerce-wholesale-lead-capture --field=version
wp plugin update woocommerce-wholesale-lead-capture

Ajax Search Lite: CVE-2026-28139, Object Injection via REST

Il database Patchstack del plugin Ajax Search Lite (70.000 installazioni) riporta una vulnerabilità di Unauthenticated PHP Object Injection via Search Statistics REST Endpoint nelle versioni precedenti alla 4.14.5, patchata il 20 agosto 2026. La versione attuale disponibile su wordpress.org è la 4.14.5.

wp plugin list --name=ajax-search-lite --field=version
wp plugin update ajax-search-lite

In sintesi

CVE	Plugin	Versione vulnerabile	Versione corretta
CVE-2026-82222	GiveWP	≤ 4.16.7.1	4.16.7.2
CVE-2026-19598	Pods	≤ 3.3.9	3.3.9.1
CVE-2026-27540	WooCommerce Wholesale Lead Capture	≤ 2.0.3.1	successiva (patch 20/02/2026)
CVE-2026-28139	Ajax Search Lite	< 4.14.5	4.14.5

Per aggiornare tutti i plugin di un'installazione in un colpo solo: wp plugin update --all. Su hosting multi-tenant conviene uno script che gira wp plugin list --fields=name,version,update su ogni installazione e segnala chi è ancora sotto soglia.