CVE-2026-14490
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Wtyczka Demi dla WordPressa do wersji 0.0.7 przechowuje klucz HMAC i token przywracania w publicznie dostępnym podkatalogu uploads. Nieuwierzytelniony atakujący może odczytać klucz i sfałszować żądanie do AJAX handlera demi_restore_step, co pozwala na rekurencyjne usuwanie dowolnych katalogów.
Ocena ryzyka
Atakujący może usunąć całe katalogi na serwerze, co prowadzi do utraty danych i przerwania działania witryny.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do najnowszej wersji i zabezpieczyć katalog uploads przed bezpośrednim dostępem.
Inne podatności w Demi
Zobacz wszystkie- CVE-2026-14333Wysokie
Wtyczka Demi dla WordPressa przed wersją 0.0.7 przechowuje archiwa pełnych kopii zapasowych witryny w publicznie dostępnej lokalizacji pod przewidywalną nazwą pliku i bez ochrony dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie kompletnych kopii zapasowych, w tym bazy danych witryny i skrótów haseł użytkowników.
- CVE-2026-15012Średnie
Wtyczka Demi dla WordPressa do wersji 0.0.8 włącznie umożliwia nieuwierzytelnionym atakującym kopiowanie dowolnych plików na serwerze poprzez funkcję handle_restore_step. Brak kontroli dostępu do katalogu wp-content/uploads/demi-backup-state/ ujawnia klucz przywracania, który jest używany do uwierzytelniania w niezabezpieczonym handlerze AJAX. Atak wymaga wcześniejszego zainicjowania operacji przywracania.
Oryginalny opis (angielski, źródło NVD)
The Demi – One Click Demo Import, WP Backup & Site Migration plugin for WordPress is vulnerable to Arbitrary Directory Deletion in all versions up to, and including, 0.0.7. The vulnerability exists because the plugin stores its HMAC signing key and per-step restore token as dotfiles inside a publicly accessible subdirectory of the WordPress uploads folder — without any `.htaccess` or index file protection — and the `demi_restore_step` AJAX handler, registered for unauthenticated callers, explicitly accepts possession of the on-disk signing key as a standalone alternative to WordPress capability and nonce checks; an unauthenticated attacker who retrieves the exposed key can forge a valid signed state envelope to invoke `CleanDir::execute()` with a caller-supplied absolute path that is subject to no allow-list or path-canonicalization check. This makes it possible for unauthenticated attackers to recursively delete arbitrary directories on the server.