La compromissione completa non avviene attraverso la sola XSS. La catena dimostrata richiede che un amministratore WordPress già autenticato interagisca con una pagina predisposta dall’attaccante. In tale scenario, l’attaccante può sfruttare la sessione dell’amministratore fino ad ottenere una Application Password e, successivamente, utilizzarne i privilegi per arrivare al caricamento di codice PHP sul sistema.

Il CERT-AGID invita le PA a verificare la versione effettivamente installata e ad applicare tempestivamente gli aggiornamenti di sicurezza disponibili.

La combinazione delle due vulnerabilità può consentire a un attaccante non autenticato di accedere a funzionalità normalmente non disponibili agli utenti anonimi e di sfruttare la SQL injection presente nel core.

L’attacco può portare all’accesso non autorizzato ai dati, alla compromissione degli account amministrativi e, in determinate condizioni, all’installazione di web shell o di altro codice malevolo sul sistema.

Un elemento particolarmente rilevante è che la vulnerabilità interessa direttamente WordPress e non richiede la presenza di uno specifico plugin vulnerabile.

Recentemente il sito Sucuri.net ha lanciato l’allarme riguardo a una nuova campagna malevola che, sfruttando una vulnerabilità nota al pubblico dal mese di dicembre 2023, ha già compromesso oltre 3000 siti basati su CMS Wordpress. Tra questi, sono stati identificati domini italiani coinvolti in questa campagna.