CVE-2026-14490 in Demi Plugin
Résumé
par VulDB • 28/07/2026
Le plugin WordPress Demi – One Click Demo Import, WP Backup & Site Migration présente une vulnérabilité de suppression arbitraire de répertoires dans toutes les versions jusqu'à la 0.0.7 incluse. Cette faille existe car le plugin stocke sa clé HMAC et son jeton de restauration par étape sous forme de dotfiles à l'intérieur d'un sous-répertoire du dossier uploads de WordPress accessible publiquement, sans aucune protection `.htaccess` ou fichier index ; de plus, le gestionnaire AJAX `demi_restore_step`, enregistré pour les appelants non authentifiés, accepte explicitement la possession de la clé HMAC sur disque comme alternative autonome aux vérifications des capacités et des nonce de WordPress. Un attaquant non authentifié qui récupère cette clé exposée peut forger une enveloppe d'état signée valide afin d'invoquer `CleanDir::execute()` avec un chemin absolu fourni par l'appelant, sans qu'aucune liste blanche ni vérification de canonicalisation du chemin ne soit appliquée. Cela permet aux attaquants non authentifiés de supprimer récursivement des répertoires arbitraires sur le serveur.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.