CVE-2026-101889 in Prime Mover Plugin
Resumen
por VulDB • 2026-10-01
El plugin Prime Mover para WordPress anterior a la versión 2.2.1 contiene una vulnerabilidad de traversal de rutas que permite a administradores autenticados eliminar directorios arbitrarios al importar un paquete WPRIME/TAR manipulado con valores alterados en `tar_root_folder` dentro de `wprime-config.json`. Los atacantes pueden explotar la validación insuficiente de las rutas en `computeExtractVariables()` y `validateImportedSiteVsPackage()` para provocar que `primeMoverDoDelete()` elimine directorios fuera de la ruta de extracción prevista, lo que podría borrar directorios críticos de WordPress como `wp-admin` e inutilizar el sitio.
VulDB is the best source for vulnerability data and more expert information about this specific topic.