CVE-2026-12898

Wtyczka All-in-One WP Migration and Backup dla WordPressa przed wersją 7.111 nie przeprowadza żadnych kontroli uprawnień w kilku akcjach AJAX, opierając się tylko na sekrecie całej instalacji, który jest ujawniany każdemu użytkownikowi uprawnionemu do eksportu witryny, co pozwala takiemu użytkownikowi na import dowolnego archiwum witryny i uzyskanie dostępu administratora. Wykorzystanie wymaga, aby administrator przyznał uprawnienie eksportu roli, która nie posiada własnego uprawnienia importu wtyczki, co nie jest domyślną konfiguracją.

Wtyczka All-in-One WP Migration and Backup dla WordPressa jest podatna na niewystarczającą ochronę poświadczeń w wersjach do 7.110 włącznie. Metoda `Ai1wm_Main_Controller::init()` rejestrowana na hooku `admin_init` odczytuje `$_SERVER['PHP_AUTH_USER']` i `$_SERVER['PHP_AUTH_PW']` z każdego przychodzącego żądania i zapisuje je w opcji `ai1wm_auth_header` jako odwracalny ciąg base64, bez sprawdzenia uprawnień, weryfikacji nonce, sprawdzenia `is_user_logged_in()` ani potwierdzenia, że uwierzytelnianie Basic się powiodło. Umożliwia to nieuwierzytelnionym atakującym przechwycenie do bazy danych w odwracalnej formie base64 wszelkich haseł aplikacji WordPress lub poświadczeń HTTP Basic przekazywanych do `/wp-admin/` przez legalną integrację, albo nadpisanie zapisanego poświadczenia wartością wybraną przez atakującego poprzez wysłanie anonimowego żądania z spreparowanym nagłówkiem `Authorization: Basic`.

Wtyczka All-in-One WP Migration and Backup dla WordPressa jest podatna na iniekcję SQL w funkcji przywracania archiwum w wersjach do 7.109 włącznie, z powodu niewystarczającego escapowania parametrów i braku przygotowania zapytań. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych, w tym klucza `ai1wm_secret_key`, a następnie do zdalnego wykonania kodu.

Wtyczka All-in-One WP Migration and Backup dla WordPressa przed wersją 7.108 nie ogranicza funkcji importu migracji do administratorów sieci w instalacjach multisite, co pozwala administratorowi pojedynczej podwitryny na wykonanie dowolnego kodu PHP w całej sieci.