CVE-2026-89064
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Wtyczka All-in-One WP Migration and Backup dla WordPressa jest podatna na niewystarczającą ochronę poświadczeń w wersjach do 7.110 włącznie. Metoda `Ai1wm_Main_Controller::init()` rejestrowana na hooku `admin_init` odczytuje `$_SERVER['PHP_AUTH_USER']` i `$_SERVER['PHP_AUTH_PW']` z każdego przychodzącego żądania i zapisuje je w opcji `ai1wm_auth_header` jako odwracalny ciąg base64, bez sprawdzenia uprawnień, weryfikacji nonce, sprawdzenia `is_user_logged_in()` ani potwierdzenia, że uwierzytelnianie Basic się powiodło. Umożliwia to nieuwierzytelnionym atakującym przechwycenie do bazy danych w odwracalnej formie base64 wszelkich haseł aplikacji WordPress lub poświadczeń HTTP Basic przekazywanych do `/wp-admin/` przez legalną integrację, albo nadpisanie zapisanego poświadczenia wartością wybraną przez atakującego poprzez wysłanie anonimowego żądania z spreparowanym nagłówkiem `Authorization: Basic`.
Ocena ryzyka
Szczególnie dotkliwe w środowiskach używających haseł aplikacji WordPress do REST API lub integracji zewnętrznych, ponieważ poświadczenia te są przesyłane jako HTTP Basic auth do `/wp-admin/` i mogą zostać po cichu przechwycone przez nieuwierzytelnioną ścieżkę zapisu.
Rekomendacja
Zaktualizuj wtyczkę All-in-One WP Migration and Backup do wersji nowszej niż 7.110.
Inne podatności w All-in-One WP Migration and Backup
Zobacz wszystkie- CVE-2026-81810Wysokie
Wtyczka All-in-One WP Migration and Backup dla WordPressa przed wersją 7.111 nie przeprowadza żadnych kontroli uprawnień w kilku akcjach AJAX, opierając się tylko na sekrecie całej instalacji, który jest ujawniany każdemu użytkownikowi uprawnionemu do eksportu witryny, co pozwala takiemu użytkownikowi na import dowolnego archiwum witryny i uzyskanie dostępu administratora. Wykorzystanie wymaga, aby administrator przyznał uprawnienie eksportu roli, która nie posiada własnego uprawnienia importu wtyczki, co nie jest domyślną konfiguracją.
- CVE-2026-19949Wysokie
Wtyczka All-in-One WP Migration and Backup dla WordPressa jest podatna na iniekcję SQL w funkcji przywracania archiwum w wersjach do 7.109 włącznie, z powodu niewystarczającego escapowania parametrów i braku przygotowania zapytań. Umożliwia to nieuwierzytelnionym atakującym dołączanie dodatkowych zapytań SQL, co może prowadzić do wyodrębnienia wrażliwych informacji z bazy danych, w tym klucza `ai1wm_secret_key`, a następnie do zdalnego wykonania kodu.
- CVE-2026-17533Wysokie
Wtyczka All-in-One WP Migration and Backup dla WordPressa przed wersją 7.108 nie ogranicza funkcji importu migracji do administratorów sieci w instalacjach multisite, co pozwala administratorowi pojedynczej podwitryny na wykonanie dowolnego kodu PHP w całej sieci.
- CVE-2026-12898Średnie
Wtyczka All-in-One WP Migration and Backup dla WordPressa przed wersją 7.106 nieprawidłowo oczyszcza wartość dostarczoną przez użytkownika przed użyciem jej do budowania ścieżki pliku, co pozwala nieuwierzytelnionym atakującym na tworzenie lub dopisywanie pliku dziennika w dowolnych lokalizacjach poza zamierzonym katalogiem przechowywania.
Oryginalny opis (angielski, źródło NVD)
The All-in-One WP Migration and Backup plugin for WordPress is vulnerable to Insufficient Credential Protection in versions up to, and including, 7.110. This is due to the `Ai1wm_Main_Controller::init()` method — registered on the `admin_init` hook, which fires unauthenticated on `admin-ajax.php` and `admin-post.php` requests — reading `$_SERVER['PHP_AUTH_USER']` and `$_SERVER['PHP_AUTH_PW']` from any incoming request and writing them to the `ai1wm_auth_header` option via `update_option()` as a reversible base64-encoded string, with no capability check, nonce verification, `is_user_logged_in()` check, or confirmation that Basic authentication actually succeeded. This makes it possible for unauthenticated attackers to capture into the database, in reversible base64 form, any WordPress Application Password or HTTP Basic credential presented to `/wp-admin/` by a legitimate integration, or to overwrite the stored credential with an attacker-chosen value by sending an anonymous request carrying a crafted `Authorization: Basic` header. This is particularly impactful in environments using WordPress Application Passwords for REST API or third-party integrations, as those credentials are transmitted as HTTP Basic auth to `/wp-admin/` and will be silently harvested via this unauthenticated write path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS