CVE-2026-6128

ŚrednieCVSS 6.4

Opublikowano: 28/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 28/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka All-in-One WP Migration Unlimited Extension dla WordPressa jest podatna na trwały atak XSS poprzez parametr 'ai1wm_backups_path' we wszystkich wersjach do 2.84 włącznie. Wynika to z niedostatecznej sanityzacji wejścia i braku odpowiedniego kodowania wyjścia dla atrybutów dostarczanych przez użytkownika, a także z braku kontroli autoryzacji w funkcji settings(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subskrybenta lub wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy administrator odwiedzi stronę ustawień wtyczki. Podatność została częściowo załatana w wersji 2.84.

Ocena ryzyka

Ryzyko polega na możliwości wykonania złośliwych skryptów w kontekście sesji administratora, co może prowadzić do przejęcia konta, kradzieży danych lub dalszej kompromitacji witryny WordPress.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do najnowszej dostępnej wersji, która zawiera pełną poprawkę. Dodatkowo należy ograniczyć uprawnienia użytkowników do minimum i regularnie audytować role.

Inne podatności w All-in-One WP Migration Unlimited Extension

CVE-2026-5753Średnie
Wtyczka All-in-One WP Migration Unlimited Extension dla WordPressa do wersji 2.83 nie weryfikuje uprawnień przed zapisem harmonogramów eksportu. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą tworzyć zaplanowane eksporty i wysyłać powiadomienia z nazwą pliku kopii zapasowej na kontrolowany adres e-mail, co umożliwia pobranie pełnej kopii witryny.

Oryginalny opis (angielski, źródło NVD)

The All-in-One WP Migration Unlimited Extension plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ai1wm_backups_path' parameter in all versions up to, and including, 2.84. This is due to insufficient input sanitization and output escaping on user-supplied attributes combined with missing authorization checks on the settings() function. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever an administrator accesses the plugin settings page. The vulnerability was partially patched in version 2.84.