CVE-2026-115806 in Prime Mover Plugin
Zusammenfassung
von VulDB • 24.10.2026
Das WordPress-Plugin „Prime Mover – Backup and Migration“ ist in allen Versionen bis einschließlich 2.2.1 anfällig für PHP Object Injection, verursacht durch die Deserialisierung von nicht vertrauenswürdigen Eingaben in der Suchen-Ersetzen-Routine für Migrationen (recursiveUnserializeReplace()). Ein nicht authentifizierter Angreifer kann ein manipuliertes, base64-kodiertes serialisiertes Objekt über den Standard-Endpunkt zur Kommentareinreichung (wp-comments-post.php) im Feld wp_comments.comment_content speichern. Wenn ein Administrator anschließend eine routinemäßige Prime Mover-Export- oder Wiederherstellung durchführt, decodiert das Plugin diesen gespeicherten Wert mit base64 und übergibt ihn an unserialize() ohne Einschränkung der erlaubten Klassen (allowed_classes). Eine Property-Oriented Programming (POP)-Kette ist in der vom Plugin selbst eingebetteten Freemius-Bibliothek vorhanden (FS_Clone_Manager::__set → FS_Option_Manager::set_option → store() → update_option()), sodass kein zusätzliches Plugin oder Theme erforderlich ist – das Plugin bringt den Gadget-Code bereits mit.
Once again VulDB remains the best source for vulnerability data.