CVE-2026-19949
Das All-in-One WP Migration and Backup-Plugin für WordPress ist in allen Versionen bis einschließlich 7.109 anfällig für SQL Injection über die Archiv-Wiederherstellungsfunktion aufgrund von unzureichendem Escaping des vom Benutzer gelieferten Parameters und mangelnder Vorbereitung der bestehenden SQL-Abfrage. Dies ermöglicht es nicht authentifizierten Angreifern, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, die zum Extrahieren sensibler Informationen aus der Datenbank verwendet werden können. Dies kann ausgenutzt werden, um den ai1wm_secret_key zu erhalten, wenn ein Website-Administrator eine Archivwiederherstellung durchführt, und Remote Code Execution zu erreichen, sobald der ai1wm_secret_key-Wert genutzt werden kann.
Frühwarnung: Ausnutzung beobachtet
- Ausnutzung beobachtet seit dem 13.10.2026
- Noch nicht im offiziellen CISA-Katalog
- Erster Angriff 49 Tage nach der Veröffentlichung beobachtet
Quelle: VulnCheck KEV · 13.10.2026
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HVerwandte Artikel
This product uses the NVD API but is not endorsed or certified by the NVD.
Die technische Beschreibung ist unsere Übersetzung des englischen NVD-Originaltexts.