Piero Bosio Social Web Site Personale

Il tuo sito WordPress non è una vetrina: è già una botnet (GrayCharlie docet)📌 Link all'articolo : https://www.redhotcyber.com/post/il-tuo-sito-wordpress-non-e-una-vetrina-e-gia-una-botnet-graycharlie-docet/#redhotcyber #news #cybersecurity #hacking #malware #ransomware #netsupportrat #wordpress #javascript

Account admin compromessi: exploit attivo colpisce il plugin Modular DS di WordPress📌 Link all'articolo : https://www.redhotcyber.com/post/account-admin-compromessi-exploit-attivo-colpisce-il-plugin-modular-ds-di-wordpress/#redhotcyber #news #cybersecurity #hacking #wordpress #vulnerabilita #sicurezzainformatica #plugin

... und übrigens. #wordpress und #fediverse sind DAS Feature! Das funktioniert inzwischen super reibungslos und mich wundert, dass das noch nicht vollkommen explodiert ist. Was geht ab? #activitypub

Si parla di:ToggleLa vulnerabilità CVE-2026-23550Il trucco con l’header OriginImpatto e rispostaI ricercatori hanno scoperto una vulnerabilità critica nel plugin Modular DS per WordPress che ha permesso a hacker di compromettere oltre 40.000 siti con un metodo sorprendentemente semplice.La vulnerabilità CVE-2026-23550Il plugin Modular DS, installato su decine di migliaia di siti WordPress, presentava una falla di privilege escalation classificata con un punteggio CVSS di 10.0, il massimo livello di severità. Questa debolezza, identificata come CVE-2026-23550 e catalogata nel database di Positive Technologies, riguardava le versioni 2.5.1 e 2.5.2 e derivava da una mancanza di autenticazione adeguata nell’endpoint API /apimodular-connector/login. Gli attaccanti potevano inviare una richiesta GET a questo endpoint senza credenziali, sfruttando parametri come login, server-information e manager per elevare i privilegi e ottenere accesso amministrativo completo, inclusi moduli per il login, la gestione del server e i backup.Patchstack ha rilevato le prime exploitation il 13 gennaio 2026 alle 02:00 UTC, con richieste anomale provenienti da IP come 45.11.89.19 e 185.196.0.11, che puntavano proprio a quell’endpoint vulnerabile. La tecnica non richiedeva payload complessi né exploit zero-day elaborati: bastava una semplice chiamata HTTP per bypassare i controlli e iniettare un account amministratore, permettendo l’esecuzione di comandi arbitrari sul server sottostante.Il trucco con l’header OriginGli hacker hanno affinato l’attacco aggiungendo un header HTTP "Origin: mo.", una stringa apparentemente innocua che il plugin Modular DS interpretava come indicatore di una richiesta legittima proveniente dal dominio “originmo”. Questo header, combinato con la mancanza di validazione sull’API apimodular-connector, convinceva il sistema a trattare la chiamata come interna, eludendo ulteriori verifiche di sicurezza. In pratica, l’attaccante simulava una richiesta dal pannello di controllo del plugin stesso, ottenendo accesso istantaneo a funzionalità sensibili come la gestione dei backup e le informazioni sul server.Tale approccio, definito il “metodo più pigro” dagli analisti, ha colpito siti vulnerabili in modo massivo perché non necessitava di scansioni personalizzate o tool avanzati: una semplice modifica all’header in una richiesta GET standard era sufficiente per compromettere l’intero ambiente WordPress. Positive Technologies ha dettagliato come questo meccanismo permettesse non solo l’elevazione di privilegi ma anche l’inserimento di backdoor persistenti, con potenziali ramificazioni su database e file system.Impatto e rispostaL’exploit ha interessato circa 40.000 installazioni attive del plugin, esponendo siti a rischi di defacement, furto dati e ulteriore propagazione di malware tramite i manager di backup integrati. Patchstack ha rilasciato una patch urgente nella versione 2.5.2, che introduce validazioni rigorose sugli header Origin e sull’autenticazione API, bloccando richieste non autorizzate attraverso controlli nonce e verifica IP whitelisting.Gli amministratori di WordPress devono verificare immediatamente la presenza del plugin Modular DS, aggiornarlo alla versione corretta e monitorare i log di accesso per endpoint sospetti come /apimodular-connector/.Questa discussione è aperta anche su Feddit in @informatica

@pfefferle Looks amazing! So this is the best place to download it? https://wordpress.org/plugins/activitypub/ / https://github.com/Automattic/wordpress-activitypub@fsoc

@nonno kein problem, danke dir!also eigentlich schickt das plugin einfach den kompletten HTML code und sharkey scheint da ein paar elemente raus zu nehmen.browser.pub visualisiert ganz schön, was das plugin so alles verschickt und wie es aussehen könnte: https://browser.pub/https%3A%2F%2Fwww.mikapi.de%2Fgenuss%2Fviel-mehr-aroma-in-einem-brot-geht-nicht%2F

Happy new year 🎉We’ve just shipped a new patch release (7.8.3 & 7.8.4) of the #WordPress #ActivityPub plugin, bringing a range of fixes and improvements.* Improved compatibility with Akismet, ClassicPress and Polylang* Fixed visibility default handling for old post* Improved the handling of Hashtags* Fix Follow requests from PixelfedThanks @maxheadroom @jeremy and @linos for your contributions!https://github.com/Automattic/wordpress-activitypub/releases/tag/7.8.3#Fediverse #Automattic

@awiro_median @awiro-median 👋 habt ihr den WP-Cron richtig konfiguriert? Die Bestätigung wird über den Cron verschickt und wenn der nicht oder nur selten läuft, funktioniert es nicht oder dauert entsprechend.

@elettrona @activitypub.blog I hope 2026 will be the year, to boost ActivityPub also as Client2Server API!

#SelfHosting week 1, phase 4. FINALLY.The main architecture is up and running now. Lemmy, WriteFreely, Castopod, today I'll get WordPress multisite running; my current site on shared hosting, runs a singular website where I created multilingual through "FullSiteEditing" WordPress feature; but it's quite difficult to maintain in long-term so 2 sites with 2 languages will make it better.Now I have upgraded my hosting plan to Hostinger kvm2, and associated my VPS to the huge lifetime 10TB cloud I have, for podcasts. PCloud, through rclone. Next phase will be WordPress, then maybe to point various services to the right domain (plusbrothers.net and not .online). Most passages have been done via command line, and to find the right commands I've used google gemini. Unfortunately for some features, American (big) tech has still been useful. #accessibility #selfhost #activitypub #blog #multilingual #blind #WordPress

Fediverso che avanza: il blog e il forum degli Androidiani rinascono con il supporto di Activitypub Il blog Androidiani.net (questo che state leggendo) parla ora il linguaggio del Fediverso. #WordPress è stato collegato ad #ActivityPub, il protocollo che permette ai contenuti di vivere oltre i confini del singolo sito. Questo significa che ogni articolo pubblicato qui non resta chiuso dentro un dominio, ma diventa un oggetto federato: può essere seguito, commentato e condiviso direttamente da Mastodon, Firefish, Misskey e da qualsiasi altra piattaforma compatibile con ActivityPub. Non serve un account qui per partecipare alla conversazione, non serve iscriversi a un social centralizzato, non serve passare da un algoritmo che decide cosa merita attenzione e cosa no.Il forum, invece, non è “solo” un forum. Androidiani.net utilizza appunto #NodeBB, che non è semplicemente un software moderno ma una vera e propria istanza federata. Anche qui, i thread non sono più silos isolati: diventano parte del flusso del Fediverso. Le discussioni possono essere seguite dall’esterno, gli utenti del Fediverso possono interagire, rispondere, partecipare. È una comunità che non vive chiusa in una piattaforma ma si connette a una rete più ampia, distribuita, resiliente.@fediversoandroidiani.net/

Giving social media another try after a year of radio silence. The algorithmic feedback loops elsewhere burned me out, so I’m hoping for something a bit more organic here.I’m a WordPress dev and gamer, but honestly, I'm happiest cultivating various mushrooms and slime molds in my makeshift home lab.I'm neurodivergent (ADHD) and live with PTSD from a past near-death experience. It's well-managed these days, but it means I generally steer clear of negativity and conflict to keep my peace of mind.I'm a proud Canadian (never the 51st state), but since moving to Quebec, I've fallen in love with the province's history and culture, and I'm working hard to learn the language.Un Canadien anglophone qui a déménagé au Québec et qui est tombé en amour avec la culture d'ici. J'apprends le français, alors n'hésitez pas à me dire bonjour!(spores fell on this cap and gave it a moustache or eyes and a mouth lol😁)#Introduction #WordPress #Mycology #Mushtodon #SlimeMold #ADHD #AuDHD #PTSD #Quebec #DigitalMinimalism

@dontblink grazie a te per il riscontro positivo

@jansenspott @herrjemineh @kaffeeringe oh! das muss ich mir gesondert nochmal anschauen!

Translating ActivityPub newly added strings into Italian. The stable release. #ActivityPub #WordPress

@atarifrosch @activitypub.blog @about.iftas.org There’s no intention to exclude ClassicPress. Our resources are limited, so we don’t actively test with it, but I’m happy to fix issues when possible... or, even better, merge PRs that resolve them.

@informapirata @fediverso Sulla faccenda hashtag del fediverso vs. tag di WordPress, devo aggiungere una dritta che ho scordato. Il post di ActivityPub funziona così: se dalle impostazioni si setta "automatico", lui di default prende [title] [excerpt] [permalink] [tags] non credo ci sia bisogno di spiegare in modo non-tecnico cosa siano queste variabili. Se, come scritto nel post precedente, io rimuovo il tag dal post (e dall'elenco tags) perché inutile per il resto del sito, questo non mi entra nel post che poi passa nel fediverso una volta pubblicato.Quindi, nel migliore dei casi, si lascia l'excerpt vuoto sostituendolo con uno-due paragrafi seguito da un blocco "altro", o qualunque sistema si voglia usare per il "leggi di più"... Se non trova il riassunto (excerpt) lui prende la prima parte. Che è meglio strutturare con una intro sintetica e gli hashtag, poi c'è anche un flag nelle impostazioni blocco, che te lo fa vedere o meno questo excerpt quando apri il sito.Dopodiché da WordPress -> tags (a seconda del plugin SEO) gli si toglie l'indicizzazione a quel povero tag solitario, e sul sito eventualmente si linka la risorsa esterna più accreditata a quell'evento specifico. Ma io rimango sempre dell'idea comunque di non usare troppi tag, di non perdere nella qualità e organizzazione dei contenuti, per star dietro ai trend che ancora poco e ti mordono le dita dei piedi.

Right on the heels of WordPress 6.9 we released a new version of the ActivityPub plugin, making quote comments visible in the Reactions block and bringing you new ways of customizing your author pages.Quotes Join the Reactions PartyWhen someone quotes your post on Mastodon or other Fediverse platforms, you’ll now see it right alongside your likes and reposts. Quotes get their own row in the Fediverse Reactions display, making it easy to see at a glance who’s building on your ideas and adding their own commentary.Behind the scenes, we improved how we’re detecting quotes. Different platforms have their own ways of handling quote posts, and not all of them speak the same language. The plugin now understands these variations better, so whether someone quotes you from Mastodon, Misskey, or elsewhere, it just works.This means your engagement stats tell a fuller story. A quote isn’t just a repost—it’s someone adding their voice to yours, and now WordPress can recognize and display that distinction.Show Off Your Fediverse IdentityIf you’ve set up extra fields on your Fediverse profile—things like your website, pronouns, location, or links to other accounts—you can now display them directly on your WordPress site with the new Extra Fields block.Drop it onto any page, post, or your author archive template, pick a style that fits your theme, and your profile details appear right where your visitors can see them. Choose from a clean table layout, a stacked list, or styled cards. You can also control how many fields to show and customize colors to match your site.ChangelogAddedAdd documentation guide for using ActivityPub blocks in classic themes with Block Template PartsAdded a new Fediverse Extra Fields block to display ActivityPub extra fields, featuring compact, stacked, and card layouts with flexible user selection options.Added support for quote comments, improving detection and handling of quoted replies and links in post interactions.Add notifications for boosts, likes, and new followers in Mastodon apps via the Enable Mastodon Apps pluginAdds support for turning tags, categories, and custom taxonomies into federated collections in the Reader view so you can browse and follow topics more seamlessly.Prevent email notifications for comments on ActivityPub custom post types.Send a Reject activity when a quote comment is deleted, revoking previous quote permissions and ensuring consistent inbox handling.Store and retrieve webfinger acct for remote actors to improve identification and reduce lookupsChangedImprove gallery and image block markup for ap_posts with better alt text and optimized layouts.Improve support for media attachments by handling Audio, Document, and Video object types in addition to Images.Maintain consistent return values in Create handler.Remove trailing hashtags from incoming posts to prevent duplication with taxonomy tags.Store comments and reactions from followed actors on reader posts, and keep them separate from your site’s comments in wp-admin.Update compatibility testing for PHP 8.5 and WordPress 6.9Use tag name instead of slug for hashtag display.FixedAlways includes id, first, and last links in collection responses, ensuring followers and following lists display correctly in Mastodon.Automatically approves reactions on ActivityPub posts in the Reader view for a smoother, more seamless interaction experience.Deliver public activities to followers only.Disable REST API endpoints for internal post types.False mention email notifications for users in CC field without actual mention tags.Fix “Filename too long” errors when downloading attachments from URLs with query parameters (e.g., Instagram CDN URLs).Fix make_clickable corrupting existing anchor tags in ActivityPub contentFix PHP 8.5 deprecation warnings for ReflectionProperty::setAccessible() and ReflectionMethod::setAccessible()Improved handling of unusual activity data to avoid errors when activities contain unexpected formats.Preserve original ActivityPub activity timestamps when creating posts and comments instead of using current time.Prevented duplicate email notifications when ActivityPub instances re-send Follow activities for already-following actors.Prevents unwanted comment types—like pingbacks, trackbacks, notes and custom system comments, from being federated, ensuring only real user comments are shared with the fediverse.Removed a redundant instruction from the custom post content settings to simplify the UI.Reply block now shows fallback link when oEmbed fails instead of empty div.Simplified reply links by removing special handling for federated comments, making replies work the same for all comments where replying is allowed.Undefined array key warning in Scheduler::async_batch when called without arguments.DownloadsWordPress.org: activitypub.7.7.0.zipGitHub: tag/7.7.0Thank You!As always, a huge thanks to everyone who contributed code, reported bugs, tested early builds, and shared ideas. Every bit of feedback helps make ActivityPub for WordPress better for the whole community.Version 7.7.0 is available now—update and let us know what you think!

Vulnerabilità critiche nei plugin WordPress: King Addons per Elementor e Extended nel mirino📌 Link all'articolo : https://www.redhotcyber.com/post/vulnerabilita-critiche-nei-plugin-wordpress-king-addons-per-elementor-e-extended-nel-mirino/#redhotcyber #news #cybersecurity #hacking #wordpress #plugin #kingaddons #elementor #sitiweb

ActivityPub e il Fediverso: WordPress alla conquista del mondo! @fediverso@feddit.it @fediverso@diggita.com Mio talk su ActivityPub e il Fediverso, in italiano, ore 11:30 nel canale YouTube WordPress Community Italia.Mi spiace ma (per ora) WordCamp Pisa è solo nei canali social commerciali. Spero di portare almeno il WordCamp Pisa nel Fediverso. Quest'anno è toccato a me portare il Fediverso al WordCamp e spero accadrà pure il contrario. https://www.youtube.com/live/xCflms4B0UU?si=RMwD_ItINc4ZYHjQ #fediverso #WordPress #eventi #WCPISA #TheFutureIsFederated