Installato su oltre un milione di siti, Astra è uno dei temi più usati di WordPress, e uno dei meno colpiti: quattro vulnerabilità pubblicate dal 2020, nessuna di gravità alta. Questo bilancio rassicurante vale però solo per il tema. I plugin di Brainstorm Force che spesso lo accompagnano, Starter Templates, Spectra o Astra Pro, hanno avuto vulnerabilità ben più serie. Ecco le due storie, chiaramente separate, e cosa bisogna aggiornare.
Astra in breve
Astra è un tema gratuito pubblicato su wordpress.org a maggio 2017 da Brainstorm Force, lo sviluppatore che ha creato anche Ultimate Addons for Elementor (di cui abbiamo ricostruito la storia delle vulnerabilità), Spectra e Starter Templates. Leggero, compatibile con Elementor, Gutenberg e WooCommerce, conta oltre un milione di installazioni attive (wordpress.org).
Come la maggior parte dei temi moderni, Astra funziona come un ecosistema. Il tema fornisce il layout, l’header e il footer configurabili nel Customizer. I siti dimostrativi si importano con il plugin Starter Templates (oltre un milione di installazioni attive), i blocchi avanzati arrivano da Spectra (oltre un milione), e le funzioni premium di Astra Pro passano per un plugin a pagamento distinto, Astra Pro Addon. Su un sito reale, la superficie di attacco è quindi quella dell’insieme, non del solo tema.
La sua popolarità ne fa un bersaglio naturale: una vulnerabilità del tema si ritroverebbe identica su un milione di siti. È proprio questo che rende interessante la sua storia: mostra che un tema molto diffuso può restare poco esposto quando si limita al suo ruolo.
Cronologia delle vulnerabilità dal 2020 a ottobre 2026
Il tema Astra: quattro vulnerabilità in sei anni
WPScan e Patchstack censiscono le stesse quattro vulnerabilità per il tema tra il 1° gennaio 2020 e il 3 ottobre 2026. Il punteggio CVSS è quello dell’autorità che ha assegnato la CVE. Nessuna risulta sfruttata.
| Pubblicazione | Corretta in | Tipo | CVSS | CVE | Account richiesto |
|---|---|---|---|---|---|
| 25 marzo 2024 | 4.6.9 | XSS memorizzata (nome visualizzato dell’utente) | 6,4 (Wordfence) | CVE-2024-2347 | Collaboratore |
| 25 marzo 2024 | 4.6.5 | XSS memorizzata (header e footer) | 5,9 (Patchstack) | CVE-2024-29768 | Editore |
| 10 marzo 2026 | 4.12.4 | XSS memorizzata (impostazioni di sfondo di una pagina) | 6,4 (Wordfence) | CVE-2026-3534 | Collaboratore |
| 30 settembre 2026 | 4.14.0 | Iniezione di CSS (tavolozza dei colori globale) | 2,7 (Patchstack) | CVE-2026-27085 | Gestore del negozio |
L’ecosistema Brainstorm Force: le vulnerabilità di rilievo
Questa seconda tabella non riguarda il tema ma i plugin dello stesso sviluppatore spesso installati insieme a esso. Riporta solo le vulnerabilità significative: gravità alta o critica, oppure sfruttabili senza account. I volumi sono molto più importanti: WPScan censisce 10 vulnerabilità per Starter Templates e 21 per Spectra nello stesso periodo.
| Pubblicazione | Plugin | Corretta in | Tipo | CVSS | CVE | Account richiesto |
|---|---|---|---|---|---|---|
| 8 luglio 2021 | Astra Pro Addon (a pagamento) | 3.5.2 | SQL injection | 8,6 (WPScan), 9,8 (NVD) | CVE-2021-24507 | Nessuno |
| 5 settembre 2023 | Starter Templates | 3.2.5 | Falsificazione di richieste lato server (SSRF) | 7,1 (Patchstack) | CVE-2023-41804 | Collaboratore |
| 5 dicembre 2023 | Astra Pro (a pagamento) | 4.3.2 | Esecuzione di codice da remoto | 9,9 (Patchstack) | CVE-2023-49830 | Collaboratore |
| 9 maggio 2024 | Spectra Pro (a pagamento) | 1.1.6 | Escalation di privilegi | 8,8 (Wordfence) | CVE-2024-3828 | Autore |
| 5 dicembre 2025 | Starter Templates | 4.4.42 | Caricamento di file arbitrari | 8,8 (Wordfence) | CVE-2025-13065 | Autore |
| 19 gennaio 2026 | Custom Fonts | 2.1.17 | Cancellazione di font, autorizzazione mancante | 5,3 (Wordfence) | CVE-2025-14351 | Nessuno |
| 2 febbraio 2026 | Spectra | 2.19.18 | Divulgazione di estratti protetti da password | 5,3 (Wordfence) | CVE-2026-0950 | Nessuno |
| 29 maggio 2026 | Spectra | 2.19.26 | Esecuzione di codice da remoto | 8,8 (Wordfence) | CVE-2026-7465 | Collaboratore |
Le vulnerabilità di rilievo spiegate
Il tema: delle XSS, e niente di più
Le prime tre vulnerabilità del tema sono XSS memorizzate: un utente connesso salva del JavaScript in un campo che il tema poi mostra di nuovo senza neutralizzarlo, e quel codice viene eseguito nel browser di ogni visitatore. Se la vittima è un amministratore, lo script agisce con i suoi permessi (vedi il nostro articolo sulle vulnerabilità XSS).
A marzo 2024 Matthew Rollings ha mostrato che un Collaboratore poteva inserire codice nel proprio nome visualizzato, che il tema riprendeva nelle pagine (CVE-2024-2347). Wordfence ha avvisato lo sviluppatore l’11 marzo; la versione 4.6.9 è uscita il 23 marzo, due giorni prima della pubblicazione. Lo stesso giorno Patchstack pubblicava una XSS nell’header e nel footer, sfruttabile da un Editore (CVE-2024-29768), già corretta nella 4.6.5 dal 12 febbraio.
A marzo 2026 Alex Hickey ha scoperto che le impostazioni di sfondo di una pagina, salvate in metadati modificabili da un Collaboratore, venivano inserite nel CSS della pagina senza escaping (CVE-2026-3534). Segnalata il 4 marzo, corretta il 10 marzo nella 4.12.4 e pubblicata lo stesso giorno. Infine, CVE-2026-27085, pubblicata il 30 settembre 2026, permette a un Gestore del negozio WooCommerce di iniettare CSS tramite la tavolozza dei colori globale. Il punteggio di 2,7 ne fa una vulnerabilità bassa: questo ruolo ha già permessi ampi, e l’impatto si limita all’aspetto del sito.
Il changelog di Astra segnala anche correzioni di sicurezza che al 3 ottobre 2026 non avevano una scheda pubblica: contenuto HTML accettato senza il permesso unfiltered_html e XSS nell’elemento Account dell’header (versioni 4.13.11 e 4.13.12, settembre 2026), XSS nella ricerca dal vivo (4.14.0, 24 settembre). Altre schede potrebbero quindi aggiungersi al bilancio; riguardano tutte versioni già corrette.
Astra Pro: le due vulnerabilità più gravi dell’ecosistema
Il plugin a pagamento Astra Pro Addon detiene i due punteggi più alti. A luglio 2021 WPScan ha pubblicato una SQL injection scoperta da Ngoc Nguyen: due azioni AJAX di scorrimento infinito, accessibili ai visitatori non connessi, inserivano parametri non filtrati nelle query SQL (CVE-2021-24507, corretta in 3.5.2). Un attaccante poteva così interrogare il database del sito senza account.
A dicembre 2023 Patchstack ha pubblicato una vulnerabilità di esecuzione di codice in Astra Pro fino alla 4.3.1, sfruttabile con un semplice account Collaboratore (CVE-2023-49830, CVSS 9,9). Segnalata il 28 agosto 2023 da Rafie Muhammad, è stata corretta nella 4.3.2; Patchstack non ha pubblicato i dettagli tecnici. Poiché Astra Pro non è distribuito da wordpress.org, i suoi aggiornamenti passano per l’account Brainstorm Force: verifica che arrivino davvero sul tuo sito.
Starter Templates: l’importatore, una porta verso il server
Starter Templates importa siti completi: pagine, immagini, impostazioni. Questa funzione manipola file e indirizzi remoti, il che spiega le sue due vulnerabilità più serie. Nel 2023 Rafie Muhammad (Patchstack) ha mostrato che un Collaboratore poteva far inviare dal server richieste verso indirizzi di sua scelta (SSRF, CVE-2023-41804), corretta in 3.2.5. A dicembre 2025 Michael Mazzolini ha aggirato il controllo dei file di importazione WXR con una doppia estensione: un Autore poteva depositare un file arbitrario sul server, il che può portare all’esecuzione di codice (CVE-2025-13065, CVSS 8,8). Wordfence ha avvisato lo sviluppatore il 12 novembre 2025; la versione 4.4.42 è uscita il 14 novembre, tre settimane prima della pubblicazione.
Una volta costruito il sito, questo plugin spesso non serve più. Disinstallarlo elimina in un colpo solo questa superficie di attacco.
Spectra e Spectra Pro: dai blocchi ai privilegi
Spectra, la libreria di blocchi Gutenberg di Brainstorm Force, conta 21 vulnerabilità su WPScan dal 2020 al 3 ottobre 2026, per metà XSS memorizzate da parte di Collaboratori. Dalla versione 2.20.0 del 14 luglio 2026 si chiama Spectra Legacy e riceve solo correzioni; le novità passano per un nuovo plugin, Spectra Blocks. Due vulnerabilità del 2026 spiccano. CVE-2026-0950 permetteva a qualsiasi visitatore di leggere l’estratto di un articolo protetto da password, mostrato dai blocchi griglia o carosello di articoli (corretta in 2.19.18). CVE-2026-7465, più grave, permetteva a un Collaboratore di far eseguire una funzione PHP a sua scelta dichiarando un falso blocco nel contenuto di un articolo: si tratta di esecuzione di codice sul server (CVSS 8,8). Segnalata il 29 aprile 2026 da Supanat Konprom, è stata corretta nella 2.19.26 il 4 maggio e pubblicata il 29 maggio.
In Spectra Pro, la versione a pagamento, un Autore poteva creare un modulo di registrazione che assegnava il ruolo di amministratore ai nuovi account (CVE-2024-3828, CVSS 8,8, pubblicata il 9 maggio 2024), corretta in 1.1.6. Infine, il plugin Custom Fonts (oltre 400.000 installazioni attive) permetteva a un visitatore non connesso di cancellare la cartella dei font e riscrivere il file theme.json (CVE-2025-14351, corretta in 2.1.17).
Cosa mostra questa storia
- Un tema poco esposto: quattro vulnerabilità in sei anni per oltre un milione di siti, tutte con account richiesto, nessuna di gravità alta. Astra si limita alla visualizzazione e affida le funzioni complesse ai plugin.
- Il rischio sta nell’ecosistema: SQL injection senza account, esecuzione di codice da parte di un Collaboratore, caricamento di file da parte di un Autore. Le vulnerabilità gravi si trovano nei plugin che importano, generano o eseguono contenuti.
- Correzioni prima dell’annuncio: per le vulnerabilità di cui sono note le date, la versione corretta era disponibile prima o il giorno stesso della pubblicazione.
- Lo stesso quadro che altrove: il tema OceanWP mostra lo stesso divario tra un tema poco colpito e il suo plugin compagno, Ocean Extra (vedi le vulnerabilità di OceanWP). E la cronologia del core di WordPress ricorda che nessun software sfugge alle correzioni.
Come proteggersi
- Aggiorna tutto: al 3 ottobre 2026, punta almeno ad Astra 4.14.0, Starter Templates 4.7.6, Spectra 2.20.1 e Custom Fonts 2.1.17 (le ultime vulnerabilità pubblicate di ciascuno). Per Astra Pro e Spectra Pro, verifica che gli aggiornamenti arrivino tramite il tuo account Brainstorm Force.
- Attiva gli aggiornamenti automatici del tema e dei plugin gratuiti; la nostra guida sugli aggiornamenti automatici spiega come limitare il rischio di malfunzionamenti.
- Disinstalla Starter Templates una volta importato il sito, e qualsiasi plugin dell’ecosistema che non serve (vedi plugin abbandonati e inutili).
- Limita gli account: quasi tutte queste vulnerabilità richiedono un account Collaboratore o Autore. Riserva questi ruoli a chi ne ha bisogno (ruoli e privilegio minimo).
- Aggiungi un firewall applicativo per coprire l’intervallo tra l’annuncio e l’aggiornamento (il nostro confronto dei firewall per WordPress).
- Monitora gli annunci per il tema e per ogni plugin, come descritto nel nostro metodo di monitoraggio delle vulnerabilità.
WP Masquerade Pro aiuta su quest’ultimo punto. Ogni giorno confronta le versioni installate dei tuoi plugin e dei tuoi temi con il database pubblico WPVulnerability.net e ti invia un avviso di vulnerabilità via e-mail, con la gravità e la versione corretta. Nell’area clienti, il monitoraggio dei tuoi siti raccoglie gli aggiornamenti in sospeso e i siti vulnerabili. WP Masquerade avvisa, non corregge né il tema né i plugin e non è un firewall: l’aggiornamento resta il gesto decisivo. Per scegliere un firewall, consulta il nostro confronto dei migliori plugin di sicurezza per WordPress.
Da ricordare
- Il tema Astra conta 4 vulnerabilità pubblicate dal 2020 al 3 ottobre 2026, tutte con account richiesto e nessuna di gravità alta.
- Le vulnerabilità gravi dell’ecosistema colpiscono i plugin: Astra Pro (SQL injection senza account nel 2021, esecuzione di codice nel 2023), Starter Templates e Spectra.
- Nessuna risulta sfruttata secondo una fonte riconosciuta; le correzioni sono uscite prima o il giorno stesso dell’annuncio quando le date sono note.
- Aggiorna tema e plugin, ed elimina Starter Templates una volta importato il sito.
Fonti
- WordPress.org: tema Astra, scheda e installazioni attive (link esterno, si apre in una nuova scheda)
- CVE.org: CVE-2024-2347, Astra 4.6.8 e versioni precedenti (9 aprile 2024) (link esterno, si apre in una nuova scheda)
- CVE.org: CVE-2024-29768, Astra 4.6.4 e versioni precedenti (27 marzo 2024) (link esterno, si apre in una nuova scheda)
- WordPress.org: Spectra Legacy, scheda e changelog (link esterno, si apre in una nuova scheda)
Altre fonti consultate: altre schede CVE, database di WPScan e Patchstack.
