CVE-2026-14490 in Demi Plugin
الملخص
بحسب VulDB • 28/07/2026
يحتوي الإضافة Demi – One Click Demo Import, WP Backup & Site Migration لـ WordPress على ثغرة حذف دليل تعسفي (Arbitrary Directory Deletion) في جميع الإصدارات حتى 0.0.7 وشاملة لها. توجد الثغرة لأن الإضافة تخزن مفتاح التوقيع HMAC الخاص بها ورمز الاستعادة لكل خطوة كملفات نقطية (dotfiles) داخل مجلد فرعي قابل للوصول علناً ضمن مجلد تحميلات WordPress — دون أي حماية عبر ملف `.htaccess` أو ملف فهرس (`index file`)؛ ومعالج AJAX `demi_restore_step`، المسجل لاستدعاء غير المصادق عليهم، يقبل صراحةً امتلاك مفتاح التوقيع الموجود على القرص كبديل مستقل عن فحوصات قدرات WordPress ورموز التحقق (nonces)؛ ويمكن لمهاجم غير مصادق عليه يستعيد المفتاح المكشوف تزوير غلاف حالة موقع صالح لـ `CleanDir::execute()` مع مسار مطلق يقدمه المستخدم، وهو عرضة لأي قائمة سماح أو فحص لتوحيد المسار. وهذا يتيح للمهاجمين غير المصادق عليهم حذف مجلدات تعسفية بشكل تكراري على الخادم.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.