Nome del plugin	WP SMS
Tipo di vulnerabilità	Esposizione dei dati
Numero CVE	CVE-2026-40790
Urgenza	Medio
Data di pubblicazione CVE	2026-04-25
URL di origine	CVE-2026-40790

Urgente: esposizione di dati sensibili del plugin WP SMS (CVE-2026-40790) — Cosa devono fare ora i proprietari di siti WordPress

Autore: Team di sicurezza WP-Firewall
Data: 2026-04-24
Etichette: WordPress, sicurezza, vulnerabilità, WAF, WP SMS, CVE-2026-40790

Riepilogo: È stata divulgata una vulnerabilità di esposizione di dati sensibili che colpisce le versioni del plugin WP SMS <= 7.2.1 (CVE-2026-40790). Questo consente a account con privilegi ridotti di accedere a informazioni che dovrebbero essere riservate. Se gestisci siti che utilizzano il plugin WP SMS, leggi questa guida ora — spiega il rischio, le mitigazioni immediate, le tecniche di rilevamento e i passi concreti (inclusi regole WAF e indurimento) per proteggere il tuo sito fino a quando non potrai aggiornare a 7.2.2 o versioni successive.

Sommario

TL;DR — cosa devi fare ora
Cosa è stato divulgato (livello alto)
Chi è colpito e perché questo è importante
Analisi tecnica (cosa è andato probabilmente storto)
Scenari di attacco potenziali e profilo di rischio
Come rilevare lo sfruttamento e indicatori di compromissione
Azioni immediate — passo dopo passo (aggiorna, blocca, ispeziona)
Regole e esempi di WAF raccomandati (patch virtuale)
Indurimento, monitoraggio e rimedi a lungo termine
Se il tuo sito è già compromesso — piano di risposta agli incidenti
Come WP-Firewall ti protegge e un'opzione di protezione gratuita rapida
Raccomandazioni finali e checklist

TL;DR — cosa devi fare ora

Se hai installato il plugin WP SMS, aggiornalo immediatamente alla versione 7.2.2 o successiva.
Se non puoi aggiornare in questo momento, disabilita temporaneamente il plugin o applica patch virtuali (regola WAF) per bloccare l'accesso non autorizzato ai punti finali del plugin e alle impostazioni sensibili.
Ruota qualsiasi chiave API, credenziali o token del fornitore di telefonia che il plugin potrebbe aver memorizzato e reimposta le password per gli account amministrativi come precauzione.
Scansiona il tuo sito per indicatori di compromissione (IOC), backdoor e attività sospette di admin-ajax o endpoint REST.
Se non ti senti a tuo agio a farlo da solo, contatta uno sviluppatore fidato o utilizza un servizio di sicurezza gestito.

Cosa è stato divulgato (livello alto)

È stata segnalata pubblicamente una vulnerabilità in WP SMS (versioni <= 7.2.1) ed è stata assegnata CVE-2026-40790. È classificata come esposizione di dati sensibili e ha una gravità valutata intorno a CVSS 6.5 (media). I punti chiave dalla divulgazione:

Versioni vulnerabili: 7.2.1 e precedenti.
Corretto in: 7.2.2.
Privilegio richiesto per lo sfruttamento: abbonato (utente a basso livello).
Impatto: divulgazione non autorizzata di dati sensibili che non dovrebbero essere disponibili per utenti a basso privilegio.

Ciò significa che un attaccante che può registrarsi o ha già un account utente a basso livello sul tuo sito potrebbe essere in grado di recuperare dati di configurazione sensibili o segreti dal plugin. Questo è il tipo di vulnerabilità che può essere concatenata con altre debolezze: ad esempio, le chiavi API esposte qui potrebbero essere utilizzate per accedere a servizi esterni o per ulteriori attacchi.

Chi è colpito e perché questo è importante

Ricercato:

Qualsiasi sito WordPress con il plugin WP SMS installato e attivo nelle versioni <= 7.2.1.
Siti in cui gli utenti a basso privilegio possono registrarsi o dove esistono contributori/abbonati.

Perché è importante:

I problemi di esposizione di dati sensibili non riguardano solo la perdita di informazioni: credenziali trapelate, chiavi API del fornitore o numeri di telefono possono portare a frodi, takeover di account, abuso di servizi di terze parti (gateway SMS) o movimento laterale.
Poiché il privilegio richiesto è basso (abbonato), la superficie di attacco si amplia: gli attaccanti non hanno bisogno di credenziali da amministratore per sfruttare il problema.
Le campagne di sfruttamento di massa che scansionano le versioni vulnerabili del plugin possono rapidamente colpire migliaia di siti, rendendo critica una mitigazione tempestiva.

Analisi tecnica (cosa è andato probabilmente storto)

L'avviso pubblico classifica questo come “Esposizione di Dati Sensibili” con privilegio richiesto “Abbonato”, il che indica tipicamente un problema di controllo di autorizzazione: una richiesta destinata solo agli amministratori o per uso interno manca di controlli di capacità adeguati o restituisce troppi dati a account a basso privilegio.

Cause comuni alla base di questa classe di vulnerabilità includono:

Controlli di capacità mancanti o errati su endpoint AJAX o REST (nessun current_user_can() o capacità adeguata).
Endpoint che restituiscono la configurazione completa del plugin o opzioni (che possono contenere chiavi API) senza filtrare i campi sensibili.
Endpoint di debug o diagnostica lasciati abilitati in produzione che rivelano segreti.
Logica di serializzazione/deserializzazione o query dirette al database che restituiscono valori di opzione grezzi al richiedente.

Non pubblicheremo dettagli sull'exploit. Invece, ci concentreremo su rilevamento pragmatico e indicazioni difensive. La breve storia tecnica è: un endpoint o un'azione esposta da WP SMS ha restituito impostazioni sensibili del plugin agli attaccanti che avevano privilegi minimi sul sito. La correzione in 7.2.2 applica un controllo di accesso adeguato e/o evita di includere campi segreti nella risposta.

Scenari di attacco potenziali e profilo di rischio

Raccolta e abuso di credenziali:
- Una chiave API del gateway SMS esposta o un token del fornitore di telefonia consente agli attaccanti di inviare messaggi a tue spese o di bypassare flussi di autenticazione a più fattori che si basano su SMS.
Presa di controllo dell'account:
- Gli attaccanti utilizzano informazioni trapelate (ad es., modelli di email, codici monouso o registri di modifica degli amministratori) per ingegnerizzare socialmente il supporto o riutilizzare credenziali.
Abuso della catena di fornitura/terze parti:
- Se il plugin memorizza le credenziali dei servizi di terze parti, gli attaccanti potrebbero accedere a quei servizi (portali dei fornitori di SMS), causando danni finanziari e reputazionali.
Attacchi concatenati:
- La perdita di informazioni a bassa capacità spesso consente bug successivi (ad es., XSS memorizzato, richieste lato admin o escalation dei privilegi). Gli attaccanti tenteranno di concatenare la vulnerabilità con altre presenti nel sito.

Data la facilità di sfruttamento per account a basso privilegio, trattalo come urgente per qualsiasi sito in cui gli abbonati possano registrarsi o dove esistano account di collaboratori.

Come rilevare lo sfruttamento e indicatori di compromissione

Dovresti cercare comportamenti insoliti focalizzati su endpoint comunemente utilizzati dai plugin WP (admin-ajax, endpoint REST o file specifici del plugin). Ecco un elenco prioritario di cose da controllare:

Log e modelli di richiesta

Richieste ripetute a /wp-admin/admin-ajax.php con parametri di azione che fanno riferimento al plugin o con stringhe user-agent utilizzate da bot.
Richieste a /wp-json/ o a qualsiasi percorso REST specifico del plugin (ad es., /wp-json/wp-sms/*) da IP sconosciuti o con frequenza anomala.
Richieste che includono stringhe di query o parametri del corpo che chiedono configurazione, opzioni o impostazioni.

Modelli di accesso

Nuovi abbonati o account a basso privilegio che effettuano molte richieste in breve tempo.
Richieste provenienti da un numero ridotto di IP remoti che non sono il tuo pubblico previsto.

Controlli dello stato e dei dati di WordPress

Cambiamenti inaspettati nelle impostazioni del plugin o presenza di chiavi API non impostate dai proprietari del sito.
Nuove o modificate voci wp_options contenenti valori sospetti.

Controlli del file system e malware

Nuovi file PHP in uploads, directory dei plugin o wp-content con codice offuscato.
Timestamp modificati su file del plugin o core che non hai cambiato.
Presenza di backdoor o web shell (cerca modelli eval/base64_decode, funzioni offuscate).

Segni amministrativi

Messaggi in uscita inaspettati (SMS) o picchi di fatturazione nell'account del fornitore di SMS.
Azioni amministrative inspiegabili nei registri di audit poco dopo richieste sospette.

Comandi di rilevamento di base (esempi)

Usa grep sui registri del server (Apache/Nginx) per accessi sospetti:
```
grep -i "admin-ajax.php" /var/log/nginx/access.log | grep "wp-sms"
```

WordPress CLI per controllare la versione del plugin:

wp plugin list --status=active --format=csv | grep wp-sms

Cerca file sospetti:

find wp-content -type f -name "*.php" -mtime -7 -print

Se trovi segni di attività sospetta, passa alla sezione di risposta agli incidenti qui sotto.

Azioni immediate — passo dopo passo (aggiorna, blocca, ispeziona)

Priorità A — Aggiorna ora (opzione migliore)

Aggiorna il plugin WP SMS alla versione 7.2.2 (o successiva) tramite:
- Interfaccia Admin: Dashboard → Plugin → Aggiorna
- Oppure WP-CLI:
```
wp plugin update wp-sms
```
Conferma la versione del plugin:
```
wp plugin get wp-sms --field=version
```
Verifica la funzionalità del sito e testa i flussi di lavoro SMS su un server di staging se possibile.

Priorità B — Se non puoi aggiornare immediatamente

Disabilita o disattiva temporaneamente il plugin:
- Dashboard → Plugin → Disattiva (più veloce)
- Oppure WP-CLI: wp plugin deactivate wp-sms
Se il plugin è essenziale, applica regole WAF / patching virtuale (vedi sotto) per bloccare il comportamento vulnerabile fino a quando non puoi aggiornare.

Priorità C — Ruota segreti e credenziali

Identificare eventuali chiavi API, token o credenziali del fornitore che WP SMS memorizza o utilizza (chiavi del gateway SMS, numeri di telefono).
Ruotare quelle chiavi nella console del fornitore e aggiornare le impostazioni del plugin dopo che il plugin è stato aggiornato o sostituito.
Reimpostare le password degli amministratori e degli utenti privilegiati se hai rilevato attività sospette.

Priorità D — Scansione e ispezione

Eseguire una scansione completa del malware (scanner di malware WP-Firewall o altro scanner affidabile).
Ispezionare i log del server web per IOC (vedi sezione precedente).
Rivedere wp_options per voci create/modificate di recente dal plugin.
Controllare nuovi utenti e rivedere ruoli e capacità.

Priorità E — Backup e snapshot

Creare immediatamente uno snapshot o un backup per scopi forensi (non sovrascrivere i backup pre-incidente).
Conservare copie di log e backup per l'indagine.

Regole e esempi di WAF raccomandati (patch virtuale)

Se non puoi aggiornare immediatamente ogni sito colpito, la patch virtuale tramite un Web Application Firewall guadagna tempo. Di seguito sono riportate regole WAF pratiche e conservative che puoi applicare su Apache/ModSecurity, Nginx (con ModSecurity) o filtraggio delle richieste a livello di applicazione. L'obiettivo: bloccare richieste non autorizzate a basso privilegio che tentano di accedere alla configurazione del plugin o agli endpoint.

Importante: Evitare regole che possano compromettere la funzionalità legittima del sito. Testare le regole su staging o monitorare in modalità “solo log” prima di bloccare.

1) Regola generica: bloccare richieste anonime/a basso privilegio agli endpoint REST specifici del plugin

Nginx + ModSecurity (regola concettuale):

Rilevare richieste agli endpoint REST che contengono il percorso del nome del plugin (esempio di percorso mostrato in modo generico).
Se il metodo di richiesta è GET e non c'è un cookie che indica un utente connesso (nessun cookie wordpress_logged_in_) — bloccare o sfidare.

Regola pseudo-ModSecurity (esempio):

SecRule REQUEST_URI "@rx /wp-json/(?:wp-sms|wp_sms|wp-sms-pro)/" \"

2) Bloccare o limitare il numero di chiamate admin-ajax sospette che richiedono dati del plugin

Molte azioni dei plugin utilizzano admin-ajax.php. Applica una regola per bloccare le chiamate che includono nomi di parametri probabili (settings, get_options, ecc.) da utenti non autenticati.

Esempio ModSecurity:

SecRule ARGS_NAMES "@rx (get_settings|get_options|get_config|settings|options)" \"

3) Blocca l'accesso ai file di amministrazione del plugin dal pubblico se presenti

Se il plugin espone un file di amministrazione sotto /wp-content/plugins/wp-sms/admin/ che dovrebbe essere accessibile solo dagli amministratori, blocca l'accesso esterno per IP o richiedi autenticazione.

Esempio di regola di posizione Nginx:

location ~* /wp-content/plugins/wp-sms/.+\.php$ {

Nota: Questo approccio è conservativo e potrebbe interrompere chiamate AJAX legittime dell'amministratore in alcune configurazioni — testa prima di applicare.

4) Limitazione della velocità: riduci le interazioni ripetute dallo stesso IP / account

Implementa la limitazione delle richieste per endpoint sospetti:

Blocca o rallenta gli indirizzi IP che effettuano più di N richieste a admin-ajax o endpoint REST entro M secondi.

Nginx + esempio limit_req:

limit_req_zone $binary_remote_addr zone=wp_ajax:10m rate=30r/m;

5) Blocca bot malevoli noti e identifica agenti utente sospetti

Molti tentativi di sfruttamento automatizzati utilizzano agenti utente scriptati; crea una lista di negazione di agenti utente che colpiscono ripetutamente gli endpoint del plugin e rispondi con 403.

6) Registrazione e allerta: assicurati che ogni tentativo bloccato attivi avvisi ai proprietari/admin del sito

Le patch virtuali sono temporanee. Configura la registrazione per catturare i payload delle richieste bloccate, IP, intestazioni e timestamp per un'indagine successiva.

Linee guida

Inizia con la modalità “monitor/log-only” per le nuove regole per valutare i falsi positivi.
Usa il blocco minimo: preferisci le sfide (CAPTCHA) o i blocchi 403 per le richieste non autenticate.
Testa in staging prima di distribuire su larga scala.

Se stai usando WP-Firewall, il nostro set di regole gestito include patch virtuali per questa classe di problemi e può essere attivato immediatamente per proteggere i siti mentre esegui l'aggiornamento.

Indurimento, monitoraggio e rimedi a lungo termine

Dopo aver aggiornato o applicato una patch virtuale, dai un'occhiata più ampia alla postura di sicurezza. Ecco i controlli raccomandati:

Principio del privilegio minimo
- Limita le registrazioni degli utenti se non necessarie; imposta il ruolo predefinito su “Abbonato” solo se richiedi registrazioni. Dove possibile, disabilita la registrazione degli utenti (Impostazioni → Generale).
- Controlla regolarmente gli utenti e rimuovi gli account non utilizzati.
- Evita di usare chiavi API di livello admin nei plugin. Usa chiavi scoperte con privilegi limitati.
Manutenzione sicura dei plugin
- Tieni aggiornati tutti i plugin, i temi e il core; usa lo staging per testare gli aggiornamenti se il tuo sito ha personalizzazioni.
- Rimuovi plugin e temi non utilizzati: il codice non utilizzato aumenta la superficie di attacco.
- Iscriviti solo a plugin fidati e esegui audit del codice per plugin ad alto rischio utilizzati per integrazioni (SMS, gateway di pagamento).
Proteggi gli endpoint REST e AJAX
- Esegui controlli delle capacità (current_user_can()per gli endpoint che restituiscono dati sensibili.
- Evita di restituire segreti (chiavi API, token) nelle risposte; maschera o redigi i campi sensibili.
- Usa nonce per le sottomissioni dei moduli e richiedili prima di elaborare azioni sensibili.
Gestione dei segreti
- Evita di memorizzare segreti a lungo termine in wp_options o nelle impostazioni del plugin senza crittografia.
- Usa variabili di ambiente per i segreti a livello di server dove pratico, e caricale all'interno del plugin se supportato.
Monitoraggio e avvisi.
- Monitora i log per schemi di richiesta insoliti e tentativi di autorizzazione falliti.
- Imposta avvisi email/SMS per i blocchi WAF e picchi improvvisi nelle richieste admin-ajax o REST.
Backup e archivi immutabili
- Mantieni backup regolari off-site e testa i ripristini periodicamente.
- Tieni un backup immutabile sicuro da prima del sospetto compromesso per analisi forensi.
Scansione automatizzata e audit regolari
- Esegui scansioni automatiche delle vulnerabilità contro i tuoi plugin e temi.
- Pianifica audit manuali periodici per i plugin che gestiscono credenziali esterne o eseguono azioni privilegiate.

Se il tuo sito è già compromesso — piano di risposta agli incidenti

Se scopri segni di compromesso (richieste insolite, nuovi utenti admin, file modificati) prendi immediatamente i seguenti passaggi per la gestione degli incidenti.

Isolamento e contenimento

Metti il sito in modalità manutenzione o disconnettilo se non puoi contenere l'attività.
Disabilita temporaneamente il plugin vulnerabile (wp plugin deactivate wp-sms) o applica regole WAF rigorose per bloccare il traffico di exploit.

Preservare le prove

Fai uno snapshot completo del backup (preserva i log, il dump del database e una copia del filesystem).
Esporta i log del server web per almeno i 30 giorni precedenti all'incidente.

Eradicazione

Scansiona per shell web e file dannosi; rimuovi eventuali backdoor.
Sostituisci i file core/plugin modificati con copie pulite da fonti affidabili.
Ruota tutte le credenziali potenzialmente esposte: utenti WordPress, chiavi API, credenziali del fornitore.

Recupero

Ripristina il sito dal backup più recente noto come pulito se rimangono tracce di compromesso.
Aggiorna tutto il software: core di WordPress, plugin, temi.
Monitora attentamente per reinfezioni: controlla i log per schemi di attacco ripetuti.

Azioni successive all'incidente

Esegui un'analisi delle cause radice: come è entrato l'attaccante? Quali dati sono stati accessibili?
Considera un'analisi forense di terze parti se i dati finanziari o dei clienti sono stati esposti.
Notifica le parti interessate e, se richiesto dalla legge, segui i requisiti di notifica delle violazioni.

Come WP-Firewall ti protegge

Come team dietro WP-Firewall, il nostro approccio si concentra sulla difesa a strati:

Regole WAF gestite: Pubbliciamo patch virtuali e regole per le vulnerabilità dei plugin recentemente divulgate e le distribuiamo rapidamente per proteggere i siti mentre vengono eseguiti gli aggiornamenti.
Scansione e rimozione malware: Il nostro scanner cerca indicatori di compromissione, file sospetti e modelli comuni di backdoor; i piani di livello superiore includono la rimozione automatica del malware.
Patch virtuali automatiche per vulnerabilità: Per vulnerabilità ad alto impatto, possiamo applicare una patch virtuale su siti protetti fino a quando non viene applicata una patch del fornitore.
Blocco in tempo reale e limitazione della velocità: Protegge contro campagne di sfruttamento di massa limitando i modelli di traffico malevolo e bloccando attori noti.
Monitoraggio e reporting continui: Forniamo registri e avvisi in modo che tu possa rispondere rapidamente.

Se hai bisogno di protezione immediata e non hai un WAF in atto, ti consigliamo di applicare regole di patching virtuale conservative e ruotare le chiavi API critiche come descritto sopra. Per molti proprietari di siti, un firewall gestito e uno scanner di malware riducono il carico operativo e forniscono tranquillità.

Inizia la protezione gratuita con WP-Firewall

Se desideri proteggere subito il tuo sito WordPress, considera di iniziare con il piano WP-Firewall Basic (Gratuito). Fornisce protezione essenziale, inclusi un firewall gestito, WAF, larghezza di banda illimitata, uno scanner di malware e mitigazione per i rischi OWASP Top 10 — tutto ciò di cui hai bisogno per bloccare tentativi di sfruttamento comuni come l'esposizione di dati sensibili di WP SMS mentre aggiorni o indaghi. Puoi iniziare qui: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Se hai bisogno di risposte più automatizzate — la rimozione automatica del malware e liste di autorizzazione/blacklist IP limitate sono disponibili con il piano Standard. Per team e agenzie che gestiscono più siti, il piano Pro include patching virtuale automatizzato e report di sicurezza mensili che rendono la risposta agli incidenti molto più rapida.

Esempi dettagliati: frammenti di regole WAF sicure e modelli di rilevamento

Di seguito ci sono esempi più lunghi che puoi adattare al tuo ambiente. Queste sono linee guida — adatta per il tuo sito.

A. ModSecurity: blocca le richieste non autenticate agli endpoint REST sospetti (modalità monitor prima)

Regola 900100 - Monitora l'accesso agli endpoint REST di WP-SMS"

B. Monitoraggio dei parametri admin-ajax (registra voci admin-ajax sospette)

SecRule REQUEST_URI "@streq /wp-admin/admin-ajax.php" "id:900110,phase:2,pass,nolog,chain"

C. Nginx: negare l'accesso diretto alla cartella admin del plugin (consentire solo accesso interno)

location ~* ^/wp-content/plugins/wp-sms/admin/ {

Nota: Utilizzare interno con test accurati — nega l'accesso pubblico diretto. Alcuni asset interni del plugin potrebbero richiedere accesso — convalidare prima.

D. Limitazione della velocità per admin-ajax per rallentare le indagini

limit_req_zone $binary_remote_addr zone=ajax_zone:10m rate=60r/m;

Monitoraggio degli avvisi

Configura il tuo WAF per inviare un avviso quando una delle regole sopra passa dallo stato di monitoraggio a quello di blocco o quando vengono raggiunti i limiti per admin-ajax o endpoint REST.

Domande da porre al tuo fornitore di hosting o sviluppatore

Hai controllato se il plugin WP SMS è attivamente in esecuzione nel nostro ambiente e quale versione?
Possiamo applicare una regola WAF temporanea centralmente su tutti i siti per bloccare i modelli di richiesta vulnerabili?
Abbiamo backup recenti e conservazione dei log per almeno 30 giorni per analisi forense?
Quali servizi (fornitori di gateway SMS) sono collegati a questo plugin e possiamo ruotare le loro chiavi ora?
Possiamo disabilitare la registrazione degli utenti o cambiare i ruoli predefiniti fino a quando non applichiamo la patch?

Raccomandazioni finali e checklist

Lista di controllo immediata (prime 24 ore)

[ ] Conferma se WP SMS è installato (wp plugin list).
[ ] Aggiorna a WP SMS 7.2.2 o successivo se possibile.
[ ] Se non puoi aggiornare, disattiva il plugin o abilita le regole di patch virtuali come descritto.
[ ] Ruota le credenziali SMS/gateway e qualsiasi chiave API esposta.
[ ] Esporta e proteggi i log del server web per gli ultimi 30 giorni.
[ ] Esegui una scansione completa per malware e integrità.

Follow-up di 24–72 ore

[ ] Esegui una scansione approfondita per backdoor e file PHP sospetti.
[ ] Controlla la presenza di nuovi utenti o escalation dei privilegi.
[ ] Monitora i log del WAF e imposta avvisi per accessi ripetuti.
[ ] Documenta le azioni intraprese e notifica gli stakeholder se necessario.

A lungo termine

[ ] Implementa un WAF gestito o un monitoraggio della sicurezza professionale.
[ ] Riduci la superficie di attacco rimuovendo i plugin non utilizzati.
[ ] Esegui un audit dei plugin di terze parti che memorizzano credenziali esterne.

Pensieri conclusivi

Questa esposizione di dati sensibili di WP SMS è un promemoria che gli errori di autorizzazione dei plugin possono avere conseguenze sproporzionate — specialmente quando consentono a utenti a basso privilegio di estrarre segreti. La difesa efficace più rapida è applicare immediatamente la patch del fornitore (7.2.2). Quando una patch non può essere applicata subito, la patch virtuale tramite un WAF configurato correttamente, il rotazione delle credenziali e il monitoraggio mirato forniscono solide mitigazioni per guadagnare tempo.

Se hai bisogno di aiuto per implementare le regole sopra, convalidare la correzione o integrare patch virtuali, il team di sicurezza di WP-Firewall può assisterti. La nostra protezione e scansione gestita possono essere attivate rapidamente per proteggere i siti durante le finestre di emergenza e tenere a bada le minacce ricorrenti.

Rimani al sicuro e tratta questo come un'alta priorità se utilizzi WP SMS su uno dei tuoi siti WordPress.

— Team di Sicurezza WP-Firewall

Mitigazione dell'esposizione dei dati del plugin SMS in WordPress//Pubblicato il 2026-04-25//CVE-2026-40790