rConfig Core
rConfig Core: deserializzazione di dati non fidati, sfruttabile via rete senza account
Il problema, secondo i dati ufficiali
- rConfig Core ha una vulnerabilità classificata come «deserializzazione di dati non fidati» (CWE-502).
- Secondo la valutazione ufficiale (CVSS) si sfrutta via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
- Impatto dichiarato: lettura di dati riservati (impatto alto), modifica di dati o del sistema (impatto alto), blocco del servizio (impatto alto).
Cosa fare
- Aggiorna rConfig Core alla versione 8.2.19 o successiva; rConfig Pro alla versione 8.4.1 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- rConfig Core: dalla 8.0.0 alla 8.2.19 esclusa
- rConfig Pro: prima della 8.4.1
Fonti ufficiali
- www.rconfig.com — avviso del produttore
- github.com — patch
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
rConfig Core 8.0.0 before 8.2.19 and rConfig Pro before 8.4.1 contain a deserialization of untrusted data vulnerability that allows unauthenticated network attackers to execute arbitrary code by pushing a crafted serialized job onto the Redis-backed Laravel Horizon queue, which runs without authentication in affected deployments. Laravel's CallQueuedHandler unserializes the job without class restrictions, allowing attackers to instantiate the existing App\\Jobs\\TaskDownloadRun class and invoke an attacker-controlled Artisan command. Attackers can leverage the bundled laravel/tinker package to execute arbitrary PHP and operating system commands as the queue worker's user, write a persistent web shell into the web-served storage/app/public directory, and read database credentials, stored device credentials, and API tokens. Where Redis is not directly reachable, authenticated attackers can deliver the payload through the application by configuring a device target that points at the rConfig server's loopback address.
Non sai se ti riguarda?
Se usi rConfig Core e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Scheda compilata in automatico dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.