CVE-2026-9834
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 84 - wyżej niż 84% wszystkich znanych CVE
Streszczenie
Wtyczka WP Database Backup dla WordPressa do wersji 7.11 zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego przez parametr `wp_db_exclude_table`. Atakujący z uprawnieniami administratora może wysłać złośliwe dane, które są bezpośrednio łączone z poleceniem `mysqldump` bez odpowiedniego zabezpieczenia, co umożliwia wykonanie dowolnych poleceń na serwerze.
Ocena ryzyka
Ryzyko dla organizacji obejmuje pełne przejęcie kontroli nad serwerem przez atakującego z uprawnieniami administratora, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub zakłócenia działania usług.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WP Database Backup do najnowszej dostępnej wersji, która usuwa tę podatność. Do czasu aktualizacji zaleca się ograniczenie dostępu do panelu administracyjnego WordPressa tylko dla zaufanych użytkowników.
Powiązane podatności
- CVE-2026-85184Krytyczne
W @fastify/middie w wersjach od 9.1.0 do 9.3.4, decyzja o uruchomieniu oprogramowania pośredniczącego (middleware) dla ścieżki jest podejmowana na podstawie surowego celu żądania, podczas gdy router Fastify rozwiązuje cel żądania w formie absolutnej do ścieżki przed wysłaniem. Ponieważ te dwie warstwy oceniają różne ciągi znaków, żądanie używające celu w formie absolutnej dociera do procedury obsługi trasy, podczas gdy oprogramowanie pośredniczące dla ścieżki, takie jak uwierzytelnianie lub autoryzacja, jest pomijane. Nieuwierzytelniony atakujący sieciowy może wykorzystać to do obejścia kontroli dostępu opartych na ścieżce w aplikacji Fastify, która polega na middie dla tych kontroli.
- CVE-2026-82923Krytyczne
Wtyczka AI Website Builder dla WordPressa (wersja GitHub) 1.0.0 nie przeprowadza żadnej autoryzacji ani kontroli nonce na swoich trasach REST API, co pozwala nieuwierzytelnionym atakującym na instalowanie i aktywowanie wtyczek oraz motywów, importowanie treści z adresu URL pod ich kontrolą, zapisywanie wybranego pliku do katalogu uploads oraz usuwanie treści i multimediów witryny. Na hoście, który serwuje PHP z katalogu uploads, ten zapis pliku oznacza zdalne wykonanie kodu.
- CVE-2026-85085Krytyczne
Aplikacja Canva na Androida przed wersją 2.376.0 pozwalała na ładowanie zewnętrznego pochodzenia w uprzywilejowanym WebView. Podmiot zagrażający, który kontroluje stronę ładowaną przez użytkownika, może komunikować się z Canvą przy użyciu sesji użytkownika.
- CVE-2026-70403Krytyczne
Urządzenie XING CPTrans-ME-X zawiera użycie zaszytego na stałe hasła (CWE-259). Każdy, kto zna poświadczenie, może zalogować się do urządzenia.
- CVE-2026-69657Krytyczne
Urządzenie XING CPTrans-ME-X zawiera użycie domyślnego hasła (CWE-1393). Każdy, kto zna poświadczenie, może zalogować się do urządzenia.
- CVE-2026-62928Krytyczne
Urządzenie XING CPTrans-ME-X zawiera podatność na wstrzykiwanie poleceń systemu operacyjnego (CWE-78). Możliwe jest wstrzyknięcie nieuwierzytelnionego polecenia systemu operacyjnego.
- CVE-2026-15354Krytyczne
Wtyczka ACPT (Premium) dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 2.0.66 włącznie. Wynika to z braku autoryzacji w funkcji `submit()`, która pozwala nieuwierzytelnionym przesłaniom formularzy kontrolować docelowy identyfikator użytkownika przed wywołaniem `wp_update_user()`. Umożliwia to nieuwierzytelnionym atakującym nadpisanie adresu e-mail i hasła dowolnego użytkownika WordPressa, w tym administratora, i przejęcie konta. Skuteczne wykorzystanie wymaga publicznego formularza użytkownika ACPT, który zezwala na anonimowe przesyłanie.
- CVE-2026-85509Krytyczne
FreeIPMI przed wersją 1.6.19 zawiera podatność na przepełnienie bufora opartego na stosie w funkcji _read_fru_data w pliku libfreeipmi/fru/ipmi-fru.c, gdy kontroler BMC zwróci więcej bajtów niż żądano.
- CVE-2026-85508Krytyczne
Narzędzie ipmi-oem w FreeIPMI przed wersją 1.6.19 zawiera podatność na przepełnienie bufora opartego na stosie w funkcji _output_dell_system_info_cmc_ipv6_info w pliku ipmi-oem/ipmi-oem-dell.c, wywoływanej przez podkomendę cmc-ipv6-info polecenia dell get-system-info.
- CVE-2026-85507Krytyczne
Narzędzie ipmi-oem w FreeIPMI przed wersją 1.6.19 zawiera podatność na przepełnienie bufora opartego na stosie w funkcji _output_dell_system_info_cmc_info w pliku ipmi-oem/ipmi-oem-dell.c, wywoływanej przez podkomendę cmc-info polecenia dell get-system-info.
Oryginalny opis (angielski, źródło NVD)
The WP Database Backup – Unlimited Database & Files Backup by Backup for WP plugin for WordPress is vulnerable to OS Command Injection in all versions up to and including 7.11 via the `wp_db_exclude_table` parameter. This is due to the direct concatenation of user-supplied `$_POST['wp_db_exclude_table']` values into the `mysqldump` shell command string in the `mysqldump()` function of `includes/admin/class-wpdb-admin.php` without wrapping them in `escapeshellarg()`—every other argument in the same command (DB_USER, DB_PASSWORD, host, filename, DB_NAME) is properly escaped, making the exclude-table values the sole exception—and because the only applied filtering, `sanitize_text_field()` via `recursive_sanitize_text_field()`, strips HTML tags but leaves shell metacharacters such as `;`, `|`, `` ` ``, and `$()` intact. This makes it possible for authenticated attackers, with administrator-level access and above, to execute arbitrary operating system commands on the server, potentially enabling full remote code execution. The injection is stored: malicious values submitted through the plugin settings form are persisted to the WordPress options table via `update_option('wp_db_exclude_table')` and later retrieved with `get_option()` and passed unsanitized to `shell_exec()` whenever a backup operation runs.