Questa falla sfrutta una combinazione di debolezze nel sistema di validazione dei campi e nella logica di eliminazione dei file. Gli attaccanti possono utilizzarla per forzare l’eliminazione del file wp-config.php, un elemento essenziale per la configurazione di WordPress. Una volta eliminato, il sito viene riportato alla fase di installazione iniziale, consentendo ai malintenzionati di collegarlo a un database sotto il loro controllo e ottenere il pieno accesso al sito.

Secondo i dati ufficiali di WordPress.org, il plugin Forminator è attualmente utilizzato da oltre 600.000 siti attivi in tutto il mondo. Sebbene sia stata rilasciata una patch correttiva nella versione 1.44.3, il numero di download dell’aggiornamento – circa 200.000 – suggerisce che molti siti rimangono vulnerabili. Questa discrepanza sottolinea la lentezza con cui molti amministratori di siti web affrontano le questioni di sicurezza, aumentando il rischio di compromissione.

https://www.ilsoftware.it/grave-vulnerabilita-di-un-plugin-wordpress-oltre-600-000-siti-a-rischio/