Se hai ricevuto un’email da parte mia che ti rimanda a questa pagina, è perché il tuo sito sembra eseguire una versione di Depicter Popup & Slider Builder (il plugin WordPress di Averta, che si trova nei tuoi file in /wp-content/plugins/depicter/) che rientra nell’intervallo interessato da un noto problema di sicurezza. Questa pagina spiega di cosa si tratta, come stabilire quanto sia rilevante per il tuo sito, come leggere la tua versione senza essere fuorviato e, poiché non esiste ancora una versione corretta, cosa puoi fare nel frattempo.

Il problema è CVE-2026-66622, una SQL injection. Interessa ogni versione dalla 3.5.0 in poi, inclusa la versione attuale, 4.8.0. La gravità pubblicata è CVSS 7.5 (Alto), secondo Patchstack, l’organizzazione che l’ha segnalata. Non sono a conoscenza di alcun codice exploit pubblico per questo problema.

Al momento in cui scrivo, non esiste una versione corretta. Questa è la parte insolita, e voglio essere chiaro al riguardo: il fornitore del plugin non ha ancora rilasciato una versione che risolva questo problema, e l’ultima versione (4.8.0, del 15 agosto 2026) è ancora interessata. Quindi, a differenza della maggior parte degli avvisi di questo tipo, questo non può concludersi con “aggiorna alla versione X”. Si conclude invece con alcuni passaggi provvisori e la raccomandazione di tenere d’occhio una versione più recente della 4.8.0. Aggiornerò questa pagina se e quando comparirà una versione corretta.

Le versioni precedenti alla 3.5.0 non sono interessate da questo problema. A differenza di alcune falle, questa è stata introdotta in un punto preciso della storia del plugin: il codice del database vulnerabile è comparso per la prima volta nella versione 3.5.0 (settembre 2024). Se stai eseguendo una versione precedente alla 3.5.0, questo problema specifico non ti riguarda, anche se un plugin così indietro rispetto ai rilasci più recenti vale comunque la pena aggiornarlo per altri motivi.

Prima di tutto, il fattore che decide quanto questo sia rilevante per il tuo sito, perché preferisco dichiararlo piuttosto che lasciare che l’avviso sembri più grave di quanto sia. Si tratta di un problema memorizzato, di secondo ordine, il che significa che devono essere vere due condizioni perché si manifesti:

  1. Il tuo sito raccoglie voci tramite un modulo Depicter. Depicter può creare slider, popup e barre di notifica che si limitano a mostrare contenuti, e se è tutto ciò per cui lo usi, questo problema non ti riguarda. È rilevante solo se usi un modulo Depicter (un modulo di iscrizione, di contatto o di raccolta contatti) che memorizza ciò che i visitatori inviano.
  2. Un amministratore apre o esporta successivamente quelle voci. L’input malevolo viene inserito da un visitatore anonimo tramite il modulo, ma non fa nulla nel momento in cui viene inviato. Viene eseguito solo più tardi, quando tu o un altro amministratore aprite o esportate le voci raccolte nella schermata Leads del plugin, nella tua bacheca di WordPress.

Quindi questa non è una falla che uno sconosciuto può usare per leggere direttamente il tuo database, e non è qualcosa che attacca i visitatori del tuo sito. Agisce all’interno della tua stessa area di amministrazione, e solo se stai raccogliendo voci di moduli e poi le visualizzi. Posso leggere la versione del tuo plugin da un file pubblico, ma non posso vedere se utilizzi un modulo Depicter né se apri mai le sue voci, quindi questo avviso è un avvertimento precauzionale piuttosto che una scoperta confermata riguardante il tuo sito.

Vale la pena essere precisi su cosa sia e cosa non sia questo problema. Consente all’input che un visitatore anonimo ha inserito tramite un modulo di leggere dati dal database del tuo sito quando un amministratore visualizza le voci raccolte: dati come hash delle password e chiavi segrete che la query non era destinata a esporre. È una cosa da prendere sul serio. Ma non è una presa di controllo del tuo account amministratore, e non è esecuzione di codice remoto. Cito questo confine perché gli avvisi di sicurezza si prestano facilmente a essere letti in modo eccessivo, e preferisco che tu conosca la reale portata del problema piuttosto che presumere il peggio.

Cosa puoi fare mentre non c’è una correzione

Poiché non c’è una versione corretta da installare, si tratta di ridurre l’esposizione fino a quando non ne arriverà una. In ordine approssimativo di quanto aiutino direttamente:

  • Se non usi Depicter per raccogliere voci di moduli, non sei esposto attraverso questo percorso. Usarlo solo per slider, popup o barre di notifica che mostrano contenuti va bene.
  • Limita chi può aprire la schermata Leads. Il problema si attiva solo quando un amministratore visualizza le voci raccolte. Se puoi evitare di aprire o esportare la schermata Leads di Depicter finché non arriva una correzione (o limitarne l’accesso al minor numero possibile di persone fidate), riduci la finestra in cui potrebbe attivarsi.
  • Valuta se hai davvero bisogno del modulo in questo momento. Se un particolare modulo di raccolta contatti di Depicter non è essenziale, rimuoverlo o disattivarlo elimina il percorso di input.
  • Se Depicter non sta facendo nulla di importante sul tuo sito, rimuovere il plugin chiude del tutto il problema. È il passaggio più completo, ed è reversibile: puoi reinstallarlo non appena verrà rilasciata una versione corretta.
  • Tieni d’occhio un aggiornamento superiore alla 4.8.0 e applicalo tempestivamente non appena arriva. Questa è la vera correzione, quando il fornitore la rilascerà.

Nessuna di queste misure sostituisce perfettamente una correzione, motivo per cui il consiglio principale resta tenere d’occhio l’uscita di una versione corretta.

Come leggere la tua versione senza essere fuorviato

Se vuoi confermare quale versione stai eseguendo, non fare affidamento sul numero di versione che compare nel piccolo tag ?ver= degli URL delle risorse del plugin, nel codice sorgente della tua pagina. Per Depicter, quel numero è un timestamp del file, non la versione del plugin: viene generato in base a quando il file è stato scritto per l’ultima volta sul tuo server, quindi non corrisponderà alla versione effettivamente installata e può assomigliare quasi a qualsiasi cosa.

Il modo affidabile per leggere la tua versione è il readme.txt del plugin stesso, che viene incluso nella cartella del plugin ed è servito come semplice file di testo. Visita:

https://your-site.example/wp-content/plugins/depicter/readme.txt

(sostituendo your-site.example con il tuo dominio) e cerca la riga Stable tag: vicino all’inizio. Quella è la versione installata. Puoi vederla anche nella tua bacheca di WordPress, sotto Plugin, dove “Depicter Popup & Slider Builder” mostrerà il proprio numero di versione.

Come lo so, e cosa non ho fatto

Ho esaminato solo pagine e file che il tuo sito serve già a ogni visitatore: la tua homepage, gli URL delle risorse scritti al suo interno, e il readme.txt pubblico all’interno della cartella del plugin. È così che ho letto la versione e confermato la presenza del plugin.

Non ho avuto accesso alla tua area di amministrazione di WordPress, al tuo database o a qualsiasi parte privata del tuo sito. In particolare, non ho inviato alcun modulo, non ho aperto né esportato le voci raccolte dai tuoi moduli, e non ho inviato nulla alla funzionalità interessata. Niente è stato testato o sfruttato. Sfruttare questo problema significherebbe inserire un payload di injection nel database di qualcuno, esattamente ciò che questo avviso esiste per aiutarti a evitare, quindi ovviamente non l’ho fatto a te.

Verifica tutto questo in modo indipendente

Non devi prendere la mia parola per nulla di tutto questo. Queste sono fonti indipendenti:

Se non sei tu a occuparti di questo sito, per favore inoltra questa pagina a chi se ne occupa. Se hai domande, sei il benvenuto a rispondere all’email che ti ha portato qui.