CVE-2026-115251
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Duplicator przed wersją 5.0.0 nie ogranicza procedury aktualizacji jednym kliknięciem do użytkowników uprawnionych do instalacji wtyczek oraz udostępnia tę procedurę bez uwierzytelnienia. Administrator podrzędnej witryny multisite, który nie jest administratorem sieci, może zainstalować i uruchomić dowolny kod PHP w katalogu współdzielonym sieci.
Ocena ryzyka
Użytkownik o ograniczonych uprawnieniach może wykonać dowolny kod PHP w kontekście całej sieci multisite, co może prowadzić do przejęcia całej instalacji WordPress.
Rekomendacja
Zaktualizuj wtyczkę Duplicator do wersji 5.0.0 lub nowszej. Ogranicz uprawnienia administratorów witryn podrzędnych w multisite.
Inne podatności w Duplicator WordPress plugin
Zobacz wszystkie- CVE-2026-115262Nieznane
Wtyczki WordPress Duplicator i Duplicator Pro przed wersją 5.1.0 nie ograniczają przepisywania zestawu znaków i sortowania bazy danych wyłącznie do instrukcji schematu podczas przywracania. Wartość zapisana przez subskrybenta w jego profilu może przerwać literał ciągu i wstrzyknąć SQL do instrukcji INSERT podczas przywracania kopii zapasowej na serwerze pozbawionym jednego z zestawów znaków lub sortowań źródła.
- CVE-2026-112244Nieznane
Wtyczki Duplicator i Duplicator Pro przed wersją 5.1.0 nie blokują bezpośredniego dostępu do niektórych dołączonych plików PHP, które uruchamiają się bez oczekiwanego kontekstu, powodują błąd krytyczny i zwracają stack trace ujawniający bezwzględne ścieżki systemu plików serwera nieuwierzytelnionym użytkownikom.
- CVE-2026-112243Nieznane
Wtyczki Duplicator i Duplicator Pro przed wersją 5.1.0 nie sanityzują i nie escapują parametru przed odzwierciedleniem go na jednej ze stron administracyjnych w niektórych konfiguracjach. Prowadzi to do odbitego XSS, który wykonuje się w sesji zalogowanego administratora nakłonionego do otwarcia spreparowanego linku.
Oryginalny opis (angielski, źródło NVD)
The Duplicator WordPress plugin before 5.0.0 does not restrict its one-click upgrade routine to users allowed to install Duplicator WordPress plugin before 5.0.0, and additionally exposes the routine without authentication, allowing an administrator of a multisite child site who is not a network administrator to install and run arbitrary PHP in the network-wide shared Duplicator WordPress plugin before 5.0.0 directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS