Redazione RHC : 4 Luglio 2025 07:19
È stata scoperta una vulnerabilità nel plugin Forminator per WordPress che consente l’eliminazione non autorizzata di file arbitrari, il che potrebbe portare al controllo completo del sito vulnerabile. Al problema è stato assegnato l’identificatore CVE-2025-6463 (8,8 punti sulla scala CVSS) e riguarda tutte le versioni di Forminator fino alla 1.44.2. Il bug è stato scoperto da un ricercatore soprannominato Phat RiO – BlueRock, che lo ha segnalato a Wordfence il 20 giugno 2025. Lo specialista ha ricevuto una ricompensa di 8.100 dollari per aver scoperto questa vulnerabilità.
Forminator, creato da WPMU DEV, è un generatore di moduli di pagamento, moduli di contatto, moduli di feedback, moduli di quiz, moduli di sondaggio e questionari per siti WordPress. Il plugin utilizza una semplice funzionalità drag-and-drop e offre ampie possibilità di integrazione con terze parti. Secondo le statistiche di WordPress.org , il plugin è attualmente installato e attivo su 600.000 siti.
La vulnerabilità scoperta è correlata a una convalida e sanificazione degli input insufficienti, nonché a una logica di eliminazione dei file non sicura nel codice backend del plugin. Pertanto, quando un utente invia un modulo, la funzione save_entry_fields() salva tutti i valori dei campi, inclusi i percorsi dei file, senza verificare se questi campi debbano funzionare con i file.
Distribuisci i nostri corsi di formazione diventando un nostro Affiliato
Se sei un influencer, gestisci una community, un blog, un profilo social o semplicemente hai tanta voglia di diffondere cultura digitale e cybersecurity, questo è il momento perfetto per collaborare con RHC Academy. Unisciti al nostro Affiliate Program: potrai promuovere i nostri corsi online e guadagnare provvigioni ad ogni corso venduto. Fai parte del cambiamento. Diffondi conoscenza, costruisci fiducia, genera valore.
Contattaci tramite WhatsApp al 375 593 1011 per richiedere ulteriori informazioni oppure scriviti alla casella di posta [email protected]
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Un aggressore può quindi sfruttare questo comportamento per iniettare un array di file appositamente creato in un campo qualsiasi (anche un campo di testo), simulando un file caricato con un percorso personalizzato, ad esempio puntando al file critico /var/www/html/wp-config.php.
Se l’amministratore elimina manualmente tale record (o se è abilitata l’eliminazione automatica dei vecchi record), Forminator cancellerà questo file di sistema di WordPress, dopodiché il sito entrerà in modalità di configurazione iniziale e diventerà vulnerabile agli attacchi. “Rimuovendo wp-config.php il sito entra in uno stato di configurazione che consente a un aggressore di avviare un’acquisizione del sito collegandolo a un database sotto il suo controllo”, spiega Wordfence.
Il 30 giugno, gli sviluppatori del plugin hanno rilasciato una versione patchata, la 1.44.3, che ha aggiunto un controllo per il tipo di campo e il percorso del file. Questo garantisce che le eliminazioni siano limitate alla sola directory di caricamento di WordPress. Da quando è stata rilasciata la patch, il plugin è stato scaricato circa 200.000 volte, ma non si sa quante installazioni siano ancora vulnerabili a CVE-2025-6463.
Si consiglia a tutti gli utenti di Forminator di aggiornare il prima possibile alla versione più recente o di disattivare il plugin finché la patch non sarà installata.
RedazioneI ricercatori di Okta hanno notato che aggressori sconosciuti stanno utilizzando lo strumento di intelligenza artificiale generativa v0 di Vercel per creare pagine false che imitano qu...
Google è al centro di un’imponente causa in California che si è conclusa con la decisione di pagare oltre 314 milioni di dollari agli utenti di smartphone Android nello stato. Una giu...
La RHC Conference 2025, organizzata da Red Hot Cyber, ha rappresentato un punto di riferimento per la comunità italiana della cybersecurity, offrendo un ricco programma di talk, workshop e compet...
Nella giornata di ieri, Red Hot Cyber ha pubblicato un approfondimento su una grave vulnerabilità scoperta in SUDO (CVE-2025-32463), che consente l’escalation dei privilegi a root in ambie...
Il Dipartimento di Giustizia degli Stati Uniti ha annunciato la scoperta di un sistema su larga scala in cui falsi specialisti IT provenienti dalla RPDC i quali ottenevano lavoro presso aziende americ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
