CVE-2026-19949
Il plugin All-in-One WP Migration and Backup per WordPress è vulnerabile a SQL Injection tramite la funzionalità di ripristino dell'archivio in tutte le versioni fino alla 7.109 inclusa a causa dell'escaping insufficiente sul parametro fornito dall'utente e della mancanza di una preparazione sufficiente della query SQL esistente. Ciò rende possibile per gli attaccanti non autenticati accodare query SQL aggiuntive a query già esistenti che possono essere utilizzate per estrarre informazioni sensibili dal database. Ciò può essere sfruttato per ottenere ai1wm_secret_key quando un amministratore del sito esegue un ripristino dell'archivio e ottenere remote code execution una volta in grado di sfruttare il valore ai1wm_secret_key.
Preallarme: sfruttamento osservato
- Sfruttamento osservato dal 13 ott 2026
- Non ancora nel catalogo ufficiale CISA
- Primo attacco osservato 49 giorni dopo la divulgazione
Fonte: VulnCheck KEV · 13 ott 2026
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HArticoli correlati
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.