Vulnerabilità del 31 ottobre 2026

Critiche pubblicate

Gravità critica secondo NVD (CVSS 9 o più). Molte riguardano prodotti di nicchia: conta se li usate.

• CVE-2026-109220 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in PDF Invoice for WooCommerce + Drag and Drop Template Builder (addonsorg). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: deserializzazione di dati non attendibili.

• CVE-2026-116512 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in Project Manager – AI Powered Project Management, Task Management, Kanban Board & Time Tracker (wedevs). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: caricamento di file pericolosi senza restrizioni.

• CVE-2026-118235 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in SimpleForm – Form Maker to Chat Apps with Quiz, Poll and Multi Lead Notifications (wpazleen). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: caricamento di file pericolosi senza restrizioni.

• CVE-2026-119096 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in Uncanny Toolkit for LearnDash (uncannyowl). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: autenticazione aggirabile.

• CVE-2026-120201 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in Jpom (dromara). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-120209 critica

  Vulnerabilità critica, punteggio 9,8 su 10, in AJ-Report (anji-plus). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla.

• CVE-2026-103882 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Acadlix LMS – AI Quiz Maker, Online Exam & Course Plugin for WordPress. Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: accesso a file fuori dalla cartella prevista (path traversal).

• CVE-2026-116557 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in WP Booking System – Booking Calendar (murgroland). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: autorizzazione mancante.

• CVE-2026-89270 critica

  Vulnerabilità critica, punteggio 9,1 su 10, in Popup Builder – Create highly converting, mobile friendly marketing popups. (popupbuilder). Sfruttabile da remoto, via rete, senza credenziali, senza che nessuno faccia nulla. Tipo: autorizzazione mancante.