CVE-2025-12654
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
Wtyczka Migration, Backup, Staging – WPvivid Backup & Migration dla WordPressa jest podatna na tworzenie dowolnych katalogów we wszystkich wersjach do 0.9.120 włącznie. Funkcja check_filesystem_permissions() nie ogranicza odpowiednio katalogów, które mogą być utworzone, ani ich lokalizacji, co umożliwia uwierzytelnionym atakującym z uprawnieniami administratora tworzenie dowolnych katalogów.
Ocena ryzyka
Atakujący z uprawnieniami administratora może tworzyć katalogi w dowolnych lokalizacjach, co może prowadzić do zaśmiecenia systemu plików lub wykorzystania w dalszych atakach.
Rekomendacja
Zaktualizuj wtyczkę WPvivid Backup & Migration do wersji nowszej niż 0.9.120, zawierającej poprawkę.
Inne podatności w WPvivid Backup & Migration
Zobacz wszystkie- CVE-2026-17555Średnie
Wtyczka WPvivid Backup & Migration dla WordPressa do wersji 0.9.131 zawiera podatność na SQL Injection poprzez parametr export_data. Uwierzytelnieni atakujący z dostępem na poziomie administratora i wyższym mogą dołączyć dodatkowe zapytania SQL do istniejących zapytań, co umożliwia wyodrębnienie wrażliwych danych z bazy danych.
- CVE-2025-12656Niskie
Podatność w pluginie WordPress WPvivid Backup & Migration (wersje do 0.9.128) umożliwia uwierzytelnionemu atakującemu z uprawnieniami administratora usunięcie dowolnego katalogu na serwerze poprzez funkcję delete_cancel_staging_site() z powodu niewystarczającej walidacji ścieżki.
Oryginalny opis (angielski, źródło NVD)
The Migration, Backup, Staging – WPvivid Backup & Migration plugin for WordPress is vulnerable to arbitrary directory creation in all versions up to, and including, 0.9.120. This is due to the check_filesystem_permissions() function not properly restricting the directories that can be created, or in what location. This makes it possible for authenticated attackers, with Administrator-level access and above, to create arbitrary directories.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS