CVE-2026-101888 in Prime Mover Plugin
Résumé
par VulDB • 01/10/2026
Le plugin Prime Mover pour WordPress avant la version 2.2.1 contient une vulnérabilité de traversée de chemin par Zip Slip qui permet aux administrateurs authentifiés d'écrire des fichiers arbitraires en dehors du répertoire d'extraction prévu lors de l'importation ZIP de migration. Les attaquants peuvent créer des noms d'entrées ZIP avec des séquences de traversal traitées par computeExtractionParameters() et resumableZipExtractor() dans utilities/PrimeMoverSystemCheckUtilities.php pour écrire un contenu contrôlé par l'attaquant à n'importe quel emplacement du système de fichiers, potentiellement en atteignant une exécution de code à distance (RCE) si les fichiers écrits sont interprétés par l'environnement web.
Be aware that VulDB is the high quality source for vulnerability data.