È stata scoperta una vulnerabilità di sicurezza in Shortcodes Ultimate per WordPress (fino alla versione 7.4.7) che consente a utenti con ruolo Contributor o superiore di inserire codice JavaScript malevolo tramite lo shortcode “su_lightbox”. Il rischio? Visitando contenuti compromessi, possono attivarsi script indesiderati nel browser.
Cosa è successo
Il plugin Shortcodes Ultimate, usato da oltre 400.000 siti, presentava un difetto nella gestione dell’attributo src dello shortcode su_lightbox. Fino alla versione 7.4.7, un utente autenticato con ruolo Contributor (o superiore) poteva inserire codice JavaScript nel contenuto della pagina. Questo codice rimaneva memorizzato (Stored XSS) e si attivava nel browser di chiunque cliccasse sul link lightbox compromesso. La vulnerabilità è stata identificata da Dmitrii Ignatyev e resa pubblica nel CVE‑2026‑0737 il 3 aprile 2026; è stata risolta aggiornando il plugin alla versione 7.4.8 o successive.
Perché è importante
Anche se il rischio è legato a utenti con privilegi moderati, molte realtà (blog aziendali, siti multiautore, e-commerce con collaboratori) ne permettono l’accesso. Un attacco Stored XSS può compromettere sessioni di editor, revisori o amministratori, portando a rischi di furto di dati, attivazione di azioni non autorizzate o diffusione di contenuti pericolosi agli utenti finali.
Cosa fare adesso
- Aggiorna immediatamente il plugin Shortcodes Ultimate almeno alla versione 7.4.8.
- Verifica se nel tuo sito ci sono shortcode
[su_lightbox]inseriti da Contributor o Editor e rimuovi o controlla quelli sospetti. - Limita l’accesso alle funzioni di scrittura solo agli utenti indispensabili.
- Monitora regolarmente i tuoi plugin per aggiornamenti di sicurezza.
Come ti aiuta Evo Sistemi
Evo Sistemi può supportarti con:
- realizzazione siti web ottimizzati e mantenuti aggiornati.
- sicurezza informatica, con monitoraggio e patch tempestive.
- SEO e posizionamento senza compromettere l’affidabilità tecnica.
Per una verifica del tuo sito o un supporto concreto, contattaci.
Domande frequenti
Chi può sfruttare questa vulnerabilità?
Un utente autenticato con ruolo Contributor o superiore può inserire lo shortcode manipolato, che poi attiva il codice sul browser dei visitatori.
Cosa succede se un visitatore apre un lightbox compromesso?
Il browser esegue lo script salvato: anche se nell’esempio è un semplice alert, la tecnica può veicolare script più pericolosi.
Bastano gli aggiornamenti automatici per essere protetti?
Aggiornare è essenziale, ma è altrettanto importante controllare contenuti caricati da utenti con livelli d’accesso intermedi.