CVE-2026-112244
NieznaneStreszczenie
Wtyczki Duplicator i Duplicator Pro przed wersją 5.1.0 nie blokują bezpośredniego dostępu do niektórych dołączonych plików PHP, które uruchamiają się bez oczekiwanego kontekstu, powodują błąd krytyczny i zwracają stack trace ujawniający bezwzględne ścieżki systemu plików serwera nieuwierzytelnionym użytkownikom.
Ocena ryzyka
Ujawnienie wewnętrznych ścieżek serwera może ułatwić atakującemu dalsze rozpoznanie i wykorzystanie innych podatności. Informacje te mogą pomóc w planowaniu ataków na infrastrukturę.
Rekomendacja
Zaktualizuj wtyczki Duplicator i Duplicator Pro do wersji 5.1.0 lub nowszej. Dodatkowo rozważ wyłączenie wyświetlania błędów PHP w środowisku produkcyjnym.
Inne podatności w Duplicator WordPress plugin
Zobacz wszystkie- CVE-2026-115262Nieznane
Wtyczki WordPress Duplicator i Duplicator Pro przed wersją 5.1.0 nie ograniczają przepisywania zestawu znaków i sortowania bazy danych wyłącznie do instrukcji schematu podczas przywracania. Wartość zapisana przez subskrybenta w jego profilu może przerwać literał ciągu i wstrzyknąć SQL do instrukcji INSERT podczas przywracania kopii zapasowej na serwerze pozbawionym jednego z zestawów znaków lub sortowań źródła.
- CVE-2026-112243Nieznane
Wtyczki Duplicator i Duplicator Pro przed wersją 5.1.0 nie sanityzują i nie escapują parametru przed odzwierciedleniem go na jednej ze stron administracyjnych w niektórych konfiguracjach. Prowadzi to do odbitego XSS, który wykonuje się w sesji zalogowanego administratora nakłonionego do otwarcia spreparowanego linku.
- CVE-2026-115251Wysokie
Wtyczka WordPress Duplicator przed wersją 5.0.0 nie ogranicza procedury aktualizacji jednym kliknięciem do użytkowników uprawnionych do instalacji wtyczek oraz udostępnia tę procedurę bez uwierzytelnienia. Administrator podrzędnej witryny multisite, który nie jest administratorem sieci, może zainstalować i uruchomić dowolny kod PHP w katalogu współdzielonym sieci.
Oryginalny opis (angielski, źródło NVD)
The Duplicator WordPress plugin before 5.1.0, duplicator-pro WordPress plugin before 5.1.0 does not prevent direct access to some of its bundled PHP files, which initialise without their expected context, trigger a fatal error, and return a stack trace that discloses the server's absolute filesystem paths to unauthenticated users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS