CVE-2026-112243
NieznaneStreszczenie
Wtyczki Duplicator i Duplicator Pro przed wersją 5.1.0 nie sanityzują i nie escapują parametru przed odzwierciedleniem go na jednej ze stron administracyjnych w niektórych konfiguracjach. Prowadzi to do odbitego XSS, który wykonuje się w sesji zalogowanego administratora nakłonionego do otwarcia spreparowanego linku.
Ocena ryzyka
Odbity XSS może pozwolić atakującemu na wykonanie dowolnego kodu JavaScript w przeglądarce administratora, co może skutkować przejęciem konta lub zmianą konfiguracji witryny.
Rekomendacja
Zaktualizuj wtyczki Duplicator i Duplicator Pro do wersji 5.1.0 lub nowszej. Poinformuj administratorów o ryzyku klikania w nieznane linki.
Inne podatności w Duplicator WordPress plugin
Zobacz wszystkie- CVE-2026-115262Nieznane
Wtyczki WordPress Duplicator i Duplicator Pro przed wersją 5.1.0 nie ograniczają przepisywania zestawu znaków i sortowania bazy danych wyłącznie do instrukcji schematu podczas przywracania. Wartość zapisana przez subskrybenta w jego profilu może przerwać literał ciągu i wstrzyknąć SQL do instrukcji INSERT podczas przywracania kopii zapasowej na serwerze pozbawionym jednego z zestawów znaków lub sortowań źródła.
- CVE-2026-112244Nieznane
Wtyczki Duplicator i Duplicator Pro przed wersją 5.1.0 nie blokują bezpośredniego dostępu do niektórych dołączonych plików PHP, które uruchamiają się bez oczekiwanego kontekstu, powodują błąd krytyczny i zwracają stack trace ujawniający bezwzględne ścieżki systemu plików serwera nieuwierzytelnionym użytkownikom.
- CVE-2026-115251Wysokie
Wtyczka WordPress Duplicator przed wersją 5.0.0 nie ogranicza procedury aktualizacji jednym kliknięciem do użytkowników uprawnionych do instalacji wtyczek oraz udostępnia tę procedurę bez uwierzytelnienia. Administrator podrzędnej witryny multisite, który nie jest administratorem sieci, może zainstalować i uruchomić dowolny kod PHP w katalogu współdzielonym sieci.
Oryginalny opis (angielski, źródło NVD)
The Duplicator WordPress plugin before 5.1.0, duplicator-pro WordPress plugin before 5.1.0 does not sanitise and escape a parameter before reflecting it on one of its administrative pages in certain configurations, leading to Reflected Cross-Site Scripting that executes in the session of a logged-in administrator who is tricked into opening a crafted link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS