CVE-2026-14490 in Demi Plugin
Resumen
por VulDB • 2026-07-28
El plugin de WordPress Demi – One Click Demo Import, WP Backup & Site Migration presenta una vulnerabilidad de Eliminación Arbitraria de Directorios en todas las versiones hasta la 0.0.7 (incluida). La vulnerabilidad existe porque el plugin almacena su clave HMAC para firmas y el token de restauración por paso como archivos ocultos dentro de un subdirectorio accesible públicamente en la carpeta de cargas de WordPress, sin ninguna protección mediante `.htaccess` o archivo índice; además, el manejador AJAX `demi_restore_step`, registrado para llamadores no autenticados, acepta explícitamente la posesión de la clave de firma almacenada en disco como alternativa independiente a las comprobaciones de capacidad y nonce de WordPress. Un atacante que pueda recuperar la clave expuesta puede forjar un sobre de estado firmado válido para invocar `CleanDir::execute()` con una ruta absoluta proporcionada por el llamador, sujeta a ninguna lista blanca ni comprobación de canonicidad de rutas. Esto permite a atacantes no autenticados eliminar recursivamente directorios arbitrarios en el servidor.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.