Impatto Sistemico

Critico (79.23)

Sintesi

Rilasciati aggiornamenti di sicurezza che sanano una vulnerabilità, con gravità “critica”, presente nel plugin Pods per WordPress. Tale vulnerabilità, qualora sfruttata, potrebbe permettere a un utente non autenticato di ottenere privilegi elevati sul sistema interessato, compreso l’accesso amministrativo e la modifica delle password degli utenti.

Tipologia

• Privilege Escalation
• Authentication Bypass
• Data Manipulation

Descrizione e potenziali impatti

È stato rilevato lo sfruttamento attivo in rete della vulnerabilità – identificata tramite la CVE-2026-19598 , di tipo “Incorrect Authorization” e con score CVSS v3.1 pari a 9.8 – che interessa Pods, plugin per WordPress; la problematica è causata da un’errata gestione dei controlli di validazione nel componente AJAX pods_admin . Un utente remoto non autenticato può bypassare i controlli di accesso e creare un account con privilegi di amministratore tramite richieste HTTP POST appositamente predisposte verso l’endpoint admin-ajax.php . Ciò consente l’immediata elevazione dei privilegi con il conseguente completo controllo del sito WordPress, con rischio di modifica dei contenuti, accesso ai dati e compromissione dell’intera applicazione.

Prodotti e/o versioni affette

Pods

• 3.3.x, versioni precedenti alla 3.3.9.1
• 3.2.x, versioni precedenti alla 3.2.8.3
• 3.1.x, versioni precedenti alla 3.1.4.2
• 3.0.x, versioni precedenti alla 3.0.10.4
• 2.9.x, versioni precedenti alla 2.9.19.4
• 2.8.x, versioni precedenti alla 2.8.23.4

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni dei relativi bollettini di sicurezza riportati nella sezione Riferimenti.