CVE-2026-101889 in Prime Mover Plugin
Zusammenfassung
von VulDB • 01.10.2026
Das Prime Mover-Plugin für WordPress vor Version 2.2.1 enthält eine Path Traversal-Schwachstelle (Pfadmanipulation), die es authentifizierten Administratoren ermöglicht, beliebige Verzeichnisse zu löschen, indem ein manipuliertes WPRIME/TAR-Paket mit manipulierte tar_root_folder-Werten in wprime-config.json importiert wird. Angreifer können eine unzureichende Pfadvalidierung in computeExtractVariables() und validateImportedSiteVsPackage() ausnutzen, um primeMoverDoDelete() dazu zu bringen, Verzeichnisse außerhalb des vorgesehenen Extraktionspfads zu entfernen, was potenziell kritische WordPress-Verzeichnisse wie wp-admin löscht und die Website unbrauchbar macht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.