Un bug di sicurezza con score 10 affligge un plugin WordPress con 100.000 installazioni

Redazione RHC : 1 Giugno 2025 11:42

Gli analisti di Patchstack hanno scoperto una vulnerabilità critica nel plugin TI WooCommerce Wishlist per WordPress. Il problema non è ancora stato risolto e può essere sfruttato dagli aggressori per scaricare file arbitrari.

TI WooCommerce Wishlist ha oltre 100.000 installazioni attive. Il plugin consente ai clienti del negozio online di salvare i loro prodotti preferiti per acquistarli in un secondo momento e di condividere tali elenchi con altri utenti sui social network. “Il plugin è vulnerabile al caricamento di file arbitrario, consentendo ad aggressori non autenticati di caricare file dannosi sul server”, avverte Patchstack.

Alla vulnerabilità è stato assegnato l’identificatore CVE-2025-47577 e ha ricevuto il punteggio massimo di 10 punti su 10 sulla scala CVSS. Il problema riguarda tutte le versioni del plugin elencate di seguito, inclusa la 2.9.2 del 29 novembre 2024.

CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?  Conosci il nostro corso sul cybersecurity awareness a fumetti?  Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.  Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Come hanno spiegato gli esperti, la radice del problema risiede nella funzione tinvwl_upload_file_wc_fields_factory, che a sua volta utilizza un’altra funzione integrata di WordPress, wp_handle_upload, per eseguire la convalida, ma imposta i parametri di override test_form e test_type su false.

Il parametro test_type viene utilizzato per verificare se il tipo di file MIME (Multipurpose Internet Mail Extension) corrisponde al tipo previsto, mentre test_form viene utilizzato per verificare se il parametro $_POST[‘action’] corrisponde al tipo previsto.

Di conseguenza, impostando test_type su false è possibile ignorare il controllo del tipo di file, consentendo quindi di caricare file di qualsiasi tipo.

Si noti che la funzione vulnerabile è accessibile tramite tinvwl_meta_wc_fields_factory e tinvwl_cart_meta_wc_fields_factory solo quando il plugin WC Fields Factory è attivo sul sito. Ciò significa che lo sfruttamento riuscito del bug è possibile solo se il plugin WC Fields Factory è attivo su un sito basato su WordPress e se l’integrazione è abilitata nel plugin TI WooCommerce Wishlist.

In caso di attacco, un aggressore ha la possibilità di caricare un file PHP dannoso ed eseguire codice in remoto accedendo direttamente al file caricato. Poiché non è ancora disponibile alcuna patch, si consiglia vivamente agli utenti del plugin di disattivarlo o rimuoverlo dai propri siti.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli