XTemos Basel Post Types
XTemos Basel Post Types: accesso come qualsiasi utente WordPress, admin inclusi
Il problema, secondo i dati ufficiali
- Un errore di codice (apici mancanti nel controllo di SECURE_AUTH_SALT) fa usare sempre un salt statico, visibile nel codice sorgente del tema. Con questo salt un attaccante può calcolare offline una firma Opauth valida e inviare una richiesta ?opauth falsificata, legata all'email di un account esistente.
- Chi attacca non ha bisogno di un account e può autenticarsi come qualsiasi utente WordPress, amministratori compresi. Vengono aggirati password, autenticazione a più fattori e controlli di proprietà, e si ottiene un cookie di sessione autenticato.
- La falla è sfruttabile solo se WooCommerce è attivo e almeno un provider di social login di Basel (Facebook, Google o VKontakte) è configurato con app_id e app_secret validi nelle impostazioni del tema.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Basel Post Types: fino alla 1.18 inclusa
Fonti ufficiali
- www.wordfence.com — riferimento
- themeforest.net — riferimento
Descrizione ufficiale (in inglese)
The Basel Post Types plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.18. The vulnerability exists because a missing-quotes coding error in the defined() call for SECURE_AUTH_SALT inside BASEL_Auth::get_config() causes PHP to evaluate the constant's value rather than its name, making the check always fail and permanently falling back to the static hardcoded salt 2NlBUibcszrVtNmDnxqDbwCOpLWq91eatIz6O1O that is publicly visible in the theme source code; because this salt is static and known, an attacker can compute a valid Opauth signature entirely offline and submit a forged ?opauth callback to the unauthenticated init hook endpoint processed by register_or_login. This makes it possible for unauthenticated attackers to authenticate as any existing WordPress user, including administrators, by forging a callback tied to a known target account email address — bypassing all password verification, multi-factor authentication, and ownership checks, and receiving a fully authenticated session cookie via wc_set_customer_auth_cookie(). Exploitation requires WooCommerce to be active and at least one Basel social-login provider (Facebook, Google, or VKontakte) to be configured with a valid app_id and app_secret in the theme settings.
Non sai se ti riguarda?
Se usi XTemos Basel Post Types e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.