CVE-2026-19949
Le plugin All-in-One WP Migration and Backup pour WordPress est vulnérable à l'injection SQL via la fonctionnalité de restauration d'archive dans toutes les versions jusqu'à, et y compris, la version 7.109 en raison d'un échappement insuffisant du paramètre fourni par l'utilisateur et d'une préparation insuffisante de la requête SQL existante. Cela permet à des attaquants non authentifiés d'ajouter des requêtes SQL supplémentaires à des requêtes déjà existantes qui peuvent être utilisées pour extraire des informations sensibles de la base de données. Cela peut être exploité pour obtenir la valeur ai1wm_secret_key lorsqu'un administrateur du site effectue une restauration d'archive et parvenir à une exécution de code à distance une fois en mesure d'exploiter la valeur ai1wm_secret_key.
Alerte précoce : exploitation observée
- Exploitation observée depuis le 13 oct. 2026
- Pas encore dans le catalogue officiel de la CISA
- Première attaque observée 49 jours après la divulgation
Source : VulnCheck KEV · 13 oct. 2026
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HArticles liés
This product uses the NVD API but is not endorsed or certified by the NVD.
La description technique est notre traduction du texte original du NVD, en anglais.