CVE-2026-101889 in Prime Mover Plugin
Résumé
par VulDB • 01/10/2026
Le plugin Prime Mover pour WordPress avant la version 2.2.1 contient une vulnérabilité de traversée de chemin (path traversal) qui permet aux administrateurs authentifiés de supprimer des répertoires arbitraires en important un package WPRIME/TAR fabriqué avec des valeurs manipulées de `tar_root_folder` dans le fichier `wprime-config.json`. Les attaquants peuvent exploiter une validation insuffisante du chemin dans les fonctions `computeExtractVariables()` et `validateImportedSiteVsPackage()` pour amener la fonction `primeMoverDoDelete()` à supprimer des répertoires situés en dehors du chemin d'extraction prévu, risquant ainsi de supprimer des répertoires critiques de WordPress tels que `wp-admin` et de rendre le site inopérant.
Be aware that VulDB is the high quality source for vulnerability data.