Podatności JetBackup
3 znanych podatności CVE w JetBackup, przetłumaczonych i ocenionych.
- CVE-2026-104068Wysokie
Wtyczka JetBackup dla WordPress w wersjach przed 3.1.24.10 zawiera podatność polegającą na zapisie dowolnych plików przez dowiązania symboliczne. Uwierzytelniony administrator WordPress może zapisać kontrolowaną przez atakującego treść pliku poza zamierzonym miejscem docelowym przywracania podczas importu i przywracania kopii zapasowej. Atakujący może przygotować archiwum kopii zapasowej zawierające dowiązanie symboliczne, które rozpakowanie podąża bez walidacji celów i bez wymuszania ograniczenia do katalogu docelowego, co może prowadzić do wykonania kodu po stronie serwera w zależności od zapisywalnego miejsca docelowego i konfiguracji serwera.
- CVE-2026-19453Wysokie
Wtyczka JetBackup dla WordPressa przed wersją 3.1.23.5 nie weryfikuje roli ani uprawnień konta zachowywanego podczas przywracania lub migracji przed nadaniem mu uprawnień administratora. Pozwala to użytkownikowi z poziomem subskrybenta uzyskać dostęp administratora po przywróceniu lub migracji witryny przez właściciela.
- CVE-2026-19454Średnie
Wtyczka JetBackup dla WordPressa przed wersją 3.1.23.5 nie przeprowadza odpowiedniej kontroli autoryzacji multisite przed udostępnieniem archiwów kopii zapasowych i dzienników zadań. Pozwala to administratorowi głównej witryny sieci, który nie jest Super Adminem, na pobranie pełnej kopii zapasowej całej sieci, w tym danych każdej witryny i wspólnego webroot.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS