CVE-2026-76549

ŚrednieCVSS 5.9

Opublikowano: 27/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wtyczka UpdraftPlus: WP Backup & Migration dla WordPressa przed wersją 1.26.7 nie zawiera zabezpieczeń CSRF w jednej z akcji zarządzania kopiami zapasowymi. Atakujący może sprawić, że zalogowany administrator przywróci istniejącą kopię zapasową, cofając bazę danych i pliki serwisu do wcześniejszego stanu, poprzez spreparowany link.

Ocena ryzyka

Atakujący może cofnąć serwis do stanu sprzed aktualizacji lub z wcześniejszymi lukami, co może prowadzić do utraty danych lub ponownego wykorzystania znanych podatności.

Rekomendacja

Zaktualizuj wtyczkę UpdraftPlus do wersji 1.26.7 lub nowszej, która zawiera poprawki zabezpieczeń.

Inne podatności w UpdraftPlus

CVE-2026-10795Wysokie
Wtyczka UpdraftPlus: WP Backup & Migration dla WordPressa w wersjach do 1.26.4 włącznie zawiera podatność na ominięcie uwierzytelniania w funkcji UpdraftPlus_Remote_Communications_V2::wp_loaded. Niewystarczająca walidacja formatu wiadomości zdalnej komunikacji pozwala na ominięcie weryfikacji podpisu i uzyskanie przewidywalnego klucza szyfrowania, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych poleceń RPC jako administrator.

Oryginalny opis (angielski, źródło NVD)

The UpdraftPlus: WP Backup & Migration Plugin WordPress plugin before 1.26.7 does not have CSRF checks in one of its backup management actions, which could allow attackers to make a logged in admin restore an existing backup, reverting the site's database and files to an earlier state, via a crafted link.