CVE-2026-101889

ŚrednieCVSS 6.5

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 02/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Wtyczka Prime Mover dla WordPressa przed wersją 2.2.1 zawiera podatność na path traversal, która pozwala uwierzytelnionym administratorom na usuwanie dowolnych katalogów poprzez importowanie spreparowanego pakietu WPRIME/TAR z manipulowanymi wartościami tar_root_folder w pliku wprime-config.json. Atakujący mogą wykorzystać niewystarczającą walidację ścieżek w computeExtractVariables() i validateImportedSiteVsPackage(), aby spowodować, że primeMoverDoDelete() usunie katalogi poza zamierzoną ścieżką ekstrakcji, potencjalnie usuwając krytyczne katalogi WordPressa, takie jak wp-admin, i czyniąc witrynę nieoperacyjną.

Ocena ryzyka

Atakujący może usunąć krytyczne katalogi WordPressa, co może doprowadzić do całkowitej niedostępności witryny, utraty danych i przerwy w działaniu usług.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Prime Mover do wersji 2.2.1 lub nowszej, która zawiera poprawkę eliminującą podatność na path traversal.

Inne podatności w Prime Mover plugin

CVE-2026-101890Średnie
Wtyczka Prime Mover dla WordPressa przed wersją 2.2.1 zawiera podatność na przechowywany cross-site scripting, która pozwala atakującym na wykonanie dowolnego JavaScriptu poprzez wstrzyknięcie nieucieczonej wartości site_title w pliku footprint.json pakietu. Atakujący mogą umieścić spreparowany pakiet w katalogu prime-mover-export-files, aby złośliwa wartość renderowała się bez ucieczki w metodzie column_site_title() pliku PrimeMoverBackupMenuListTable.php, wywołując wykonanie skryptu w przeglądarce administratora podczas przeglądania listy pakietów Prime Mover bez konieczności przywracania pakietu.

Oryginalny opis (angielski, źródło NVD)

The Prime Mover plugin for WordPress before 2.2.1 contains a path traversal vulnerability that allows authenticated administrators to delete arbitrary directories by importing a crafted WPRIME/TAR package with manipulated tar_root_folder values in wprime-config.json. Attackers can exploit insufficient path validation in computeExtractVariables() and validateImportedSiteVsPackage() to cause primeMoverDoDelete() to remove directories outside the intended extraction path, potentially deleting critical WordPress directories such as wp-admin and rendering the site inoperable.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS