Vulnerabilità di WP Maps Pro di WordPress sfruttata per creare account admin

      TL;DRA vulnerabilità critica (CVE-2026-8732, CVSS 9.8) nel plugin WP Maps Pro per WordPress consente a attaccanti non autenticati di creare account admin e prendere il controllo dei siti. Wordfence ha bloccato 2.858 tentativi di sfruttamento in 24 ore, con la vulnerabilità corretta nella versione 6.1.1.

      Una vulnerabilità critica in WP Maps Pro, un plugin commerciale per WordPress con oltre 15.000 vendite su Envato Market, è attivamente sfruttata dagli attaccanti per creare account amministratore malevoli su siti vulnerabili. La vulnerabilità, tracciata come CVE-2026-8732 con un punteggio CVSS di 9.8, consente a utenti non autenticati di ottenere il pieno controllo amministrativo di qualsiasi installazione di WordPress che esegue una versione non corretta del plugin.

      Wordfence, che ha scoperto la campagna di sfruttamento, ha riportato di aver bloccato 2.858 attacchi mirati alla vulnerabilità nelle 24 ore precedenti alla sua divulgazione. La vulnerabilità colpisce tutte le versioni di WP Maps Pro fino e inclusa la 6.1.0 ed è stata corretta nella versione 6.1.1, rilasciata il 20 maggio 2026. Il ricercatore di sicurezza David Brown è accreditato per aver scoperto e segnalato il problema.

      Come funziona lo sfruttamento

      WP Maps Pro include una funzione di “accesso temporaneo” progettata per consentire al personale di supporto del plugin di accedere al sito di un cliente durante la risoluzione dei problemi. La funzione espone un'azione AJAX chiamata “wpgmp_temp_access_ajax” che può creare un nuovo utente WordPress con privilegi di amministratore. L'architettura di sicurezza dietro la funzione era fondamentalmente difettosa: l'azione era registrata con il hook “wp_ajax_nopriv_” di WordPress, il che significa che poteva essere chiamata da visitatori non autenticati.

      L'unica protezione era un controllo nonce, un token destinato a prevenire il furto di richieste cross-site. Ma il nonce era incorporato pubblicamente in ogni pagina frontend del sito tramite l'oggetto JavaScript “wpgmp_local”, rendendolo inutile come meccanismo di controllo degli accessi. Qualsiasi visitatore poteva leggere il nonce dal sorgente della pagina e usarlo per invocare la funzione.

      Un attaccante che chiama l'endpoint con il parametro “check_temp=false” attiva la funzione “wpgmp_temp_access_support()”, che crea incondizionatamente un nuovo utente WordPress con il ruolo hardcoded di amministratore e restituisce un URL di accesso magico. Visitando quell'URL si chiama “wp_set_auth_cookie()” per autenticare completamente l'attaccante come il nuovo admin creato. L'intera catena, dalla richiesta non autenticata al completo controllo del sito, non richiede credenziali, ingegneria sociale o accesso precedente.

      Il plugin e la sua portata

      WP Maps Pro consente ai proprietari di siti di incorporare mappe Google e OpenStreetMap personalizzabili con marcatori, elenchi e funzionalità avanzate di localizzazione. È comunemente utilizzato come strumento di ricerca negozi per le aziende che devono aiutare gli utenti a trovare luoghi vicini, visualizzare dettagli e ottenere indicazioni. Il plugin è venduto tramite Envato Market (CodeCanyon), non tramite la directory ufficiale dei plugin di WordPress, il che significa che gli aggiornamenti non vengono distribuiti tramite il meccanismo di aggiornamento automatico standard di WordPress.

      Quel modello di distribuzione crea un rischio particolare. I proprietari di siti che hanno acquistato il plugin potrebbero non ricevere notifiche automatiche riguardo all'aggiornamento di sicurezza, e molte installazioni di WordPress sono mantenute da utenti non tecnici o agenzie che non monitorano le divulgazioni di vulnerabilità. A differenza delle infrastrutture di crimine informatico su larga scala che le forze dell'ordine possono colpire con sequestri di server, le vulnerabilità dei plugin di WordPress vengono sfruttate attraverso campagne di scansione distribuite e automatizzate che sono difficili da interrompere.

      Cosa dovrebbero fare i proprietari di siti

      La patch nella versione 6.1.1 limita l'endpoint di accesso temporaneo solo agli amministratori autenticati. I proprietari di siti che eseguono WP Maps Pro dovrebbero aggiornare immediatamente. Coloro che non possono aggiornare dovrebbero disabilitare il plugin fino a quando non possono applicare la patch. Controllare la presenza di account amministratore inaspettati nell'elenco utenti di WordPress è un primo passo pratico per determinare se un sito è già stato compromesso.

      La vulnerabilità è un esempio da manuale di un modello che si ripete nell'ecosistema di WordPress: una funzione di supporto o debug che concede privilegi elevati, protetta da un meccanismo di sicurezza che in realtà non limita l'accesso. I programmi di divulgazione delle vulnerabilità e i ricercatori di sicurezza come Brown svolgono un ruolo fondamentale nel catturare questi difetti prima che causino danni diffusi, ma i 2.858 attacchi bloccati in un solo giorno dimostrano che la finestra tra divulgazione e sfruttamento è ora misurata in ore, non in settimane.