CVE-2026-10795

WysokieCVSS 8.1

Opublikowano: 11/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

3.58%

Percentyl 88 - wyżej niż 88% wszystkich znanych CVE

Streszczenie

Wtyczka UpdraftPlus: WP Backup & Migration dla WordPressa w wersjach do 1.26.4 włącznie zawiera podatność na ominięcie uwierzytelniania w funkcji UpdraftPlus_Remote_Communications_V2::wp_loaded. Niewystarczająca walidacja formatu wiadomości zdalnej komunikacji pozwala na ominięcie weryfikacji podpisu i uzyskanie przewidywalnego klucza szyfrowania, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych poleceń RPC jako administrator.

Ocena ryzyka

Atakujący może zdalnie przejąć kontrolę nad witryną WordPress, w tym przesłać i aktywować złośliwą wtyczkę, co prowadzi do zdalnego wykonania kodu.

Rekomendacja

Zaktualizuj wtyczkę UpdraftPlus do wersji nowszej niż 1.26.4, która zawiera poprawkę.

Inne podatności w UpdraftPlus

CVE-2026-76549Średnie
Wtyczka UpdraftPlus: WP Backup & Migration dla WordPressa przed wersją 1.26.7 nie zawiera zabezpieczeń CSRF w jednej z akcji zarządzania kopiami zapasowymi. Atakujący może sprawić, że zalogowany administrator przywróci istniejącą kopię zapasową, cofając bazę danych i pliki serwisu do wcześniejszego stanu, poprzez spreparowany link.

Oryginalny opis (angielski, źródło NVD)

The UpdraftPlus: WP Backup & Migration Plugin plugin for WordPress is vulnerable to Authentication Bypass in all versions up to, and including, 1.26.4 via the UpdraftPlus_Remote_Communications_V2::wp_loaded function. This is due to insufficient validation of the remote communications message format, where signature verification can be bypassed and unchecked decryption return values collapse to a predictable all-zero encryption key. This makes it possible for unauthenticated attackers to forge arbitrary RPC commands and run them as the connected administrator, such as uploading and activating a malicious plugin, which ultimately leads to remote code execution.