È stata scoperta una grave vulnerabilità di sicurezza nel software ampiamente utilizzato WordPress plugin Forminator, posizionando oltre 600,000 attivi WordPress siti a rischio. Il difetto, divulgato dai ricercatori di sicurezza di Wordfence il 2 luglio 2025, consente ad aggressori autenticati di eliminare file arbitrari sul server.
Che cos'è la vulnerabilità del plugin Forminator?
La vulnerabilità riguarda le versioni di Forminator precedenti alla 1.29.3. Forminator è un plugin popolare utilizzato per creare moduli di contatto, sondaggi, quiz e sondaggi su WordPress siti. A causa della mancanza di un'adeguata convalida degli input nella funzionalità di caricamento dei file, gli aggressori con accesso a livello di abbonato o superiore possono manipolare le richieste e chiedere al plugin di eliminare qualsiasi file sul server a cui l'utente del server web può accedere.
Ciò significa che è critico WordPress file principali, temi o plugin potrebbero essere rimossi, causando la non fruizione del sito o la sua completa chiusura.
Come funziona l'attacco?
Un aggressore deve prima ottenere l'accesso a qualsiasi account utente valido su un sistema vulnerabile WordPress sito. Una volta autenticati, possono creare richieste dannose sfruttando il meccanismo non sicuro di eliminazione dei file nell'endpoint di caricamento di Forminator. Poiché molti WordPress I siti consentono la registrazione degli utenti (si pensi ai siti di membership, LMS o community), ma anche un account di abbonato è sufficiente per lanciare un attacco.
Chi è interessato?
Qualsiasi WordPress Il sito che esegue versioni di Forminator precedenti alla 1.29.3 è vulnerabile.
Secondo WordPress.org, Forminator ha più di 600,000 installazioni attive, il che significa che un numero significativo di siti web resta esposto se non viene aggiornato.
I siti web che consentono la registrazione degli utenti sono particolarmente a rischio, perché gli aggressori possono semplicemente creare un account e sfruttare la vulnerabilità senza richiedere privilegi di amministratore.
Wordfence assegna un premio record per la raccolta di bug
Riconoscendo la gravità di questa falla, Wordfence ha assegnato la sua ricompensa più alta di sempre: 8,100 dollari. Questa ricompensa è stata pagata al ricercatore che ha divulgato responsabilmente la vulnerabilità tramite il programma Wordfence Bug Bounty. Secondo Wordfence, si tratta della ricompensa singola più alta mai assegnata nella storia del programma.
Il pagamento senza precedenti sottolinea la natura critica della vulnerabilità e sottolinea l’importanza di programmi di divulgazione responsabili per mantenere la WordPress ecosistema sicuro.
Cosa dovrebbero fare i proprietari di un sito?
Wordfence raccomanda a tutti WordPress I proprietari di siti che utilizzano Forminator devono effettuare immediatamente l'aggiornamento alla versione corretta, 1.29.3 o successiva. L'aggiornamento include una correzione per la vulnerabilità e impedisce agli aggressori di sfruttarla.
Oltre all'aggiornamento, i proprietari del sito dovrebbero:
- Controlla gli account utente: Controlla tutte le registrazioni degli utenti per individuare account sospetti o inaspettati.
- indurire WordPress sicurezza: Disattiva le registrazioni utente non necessarie o limitale con strumenti come CAPTCHA o verifica dell'email.
- Utilizzare un plugin di sicurezza: Implementare un firewall come Wordfence o soluzioni simili per bloccare in modo proattivo il traffico dannoso.
La vulnerabilità è stata sfruttata?
Al momento del rapporto di Wordfence, non esistevano prove pubbliche di uno sfruttamento diffuso. Tuttavia, data la semplicità dell'attacco e la facilità di ottenere l'accesso a livello di abbonamento, gli exploit attivi potevano iniziare in qualsiasi momento.
Considerazioni finali
Questa vulnerabilità in Forminator è un duro promemoria dell'importanza della manutenzione proattiva e della sicurezza dei siti web. WordPress I plugin possono aggiungere funzionalità incredibili al tuo sito, ma possono anche presentare gravi rischi se non vengono aggiornati. Un singolo plugin obsoleto può offrire agli aggressori un punto d'appoggio per compromettere l'intero sito web, danneggiare la tua reputazione o persino cancellare i tuoi dati.
At HostScore.net, ti consigliamo vivamente non solo di aggiornare regolarmente i tuoi plugin, ma anche di investire tempo nel comprendere quali funzionalità e protezioni offre il tuo provider di hosting per mantenere il tuo sito web al sicuro. Da Avanzate DDoS protezione a scansione malware, i piani di hosting moderni spesso sono dotati di funzionalità di sicurezza che possono fare una differenza fondamentale quando emergono vulnerabilità di questo tipo.
Vuoi imparare a proteggere meglio il tuo sito? Consulta la nostra guida approfondita. Proteggere i tuoi siti: funzionalità di sicurezza essenziali per l'hosting web che devi conoscereIllustra gli strumenti e le pratiche di sicurezza fondamentali che ogni proprietario di un sito web dovrebbe adottare per anticipare le potenziali minacce.
