Durante il processo di registrazione, una falla di sicurezza critica (CVE-2025-8489) nel plugin King Addons per Elementor di WordPress viene sfruttata dagli aggressori, consentendo loro di acquisire privilegi amministrativi grazie ad una vulnerabilità che permette l’escalation dei privilegi.
Un componente aggiuntivo di terze parti denominato King Addons amplia le funzionalità di Elementor, un noto plugin per la creazione visiva di pagine web per siti WordPress. Con un utilizzo stimato su circa 10.000 siti web, fornisce una gamma di widget, modelli e funzionalità supplementari.
L’attività di minaccia è iniziata il 31 ottobre, appena un giorno dopo la divulgazione del problema. Finora, lo scanner di sicurezza Wordfence di Defiant, un’azienda che fornisce servizi di sicurezza per i siti web WordPress, ha bloccato oltre 48.400 tentativi di exploit.
 Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀
Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮.
Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765.
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
I ricercatori hanno notato un picco nell’attività di sfruttamento tra il 9 e il 10 novembre, con due indirizzi IP più attivi: 45.61.157.120 (28.900 tentativi) e 2602:fa59:3:424::1 (16.900 tentativi).
Gli aggressori, stando alle analisi condotte da Wordfence, effettuano una richiesta contraffatta “admin-ajax.php” al fine di generare account con privilegi di amministratore non autorizzati sui siti presi di mira, specificando “user_role=administrator”.
Il difetto, identificato come CVE-2025-8489 da Peter Thaleikis, risiede nel gestore di registrazione del plugin, permettendo a qualsiasi utente registrato di assegnare a sé stesso un ruolo a propria scelta all’interno del sito web, compreso quello di amministratore, senza che siano applicate restrizioni di alcun tipo.
Si consiglia ai proprietari di siti web di eseguire l’aggiornamento alla versione 51.1.35 di King Addons, che risolve il problema CVE-2025-8489, rilasciato il 25 settembre.
Un’altra vulnerabilità critica nel plugin Extended di Advanced Custom Fields, che interessa più di 100.000 siti web WordPress, è stata segnalata dai ricercatori di Wordfence. Questa falla può consentire a un aggressore non autenticato di eseguire codice a distanza, mettendo a rischio la sicurezza dei siti interessati.
Il problema di sicurezza è stato segnalato il 18 novembre e il fornitore del plugin lo ha risolto nella versione 0.9.2 di Advanced Custom Fields: Extended, rilasciata un giorno dopo aver ricevuto il rapporto sulla vulnerabilità.
Poiché è possibile sfruttare la falla senza necessità di autenticazione attraverso una richiesta opportunamente strutturata, c’è il rischio che la diffusione pubblica di informazioni tecniche dettagliate provochi azioni dannose. Ai titolari di siti web si suggerisce di migrare alla versione più aggiornata al più presto oppure di rimuovere il plugin dai propri siti.
Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
