CVE-2026-101888 in Prime Mover Plugin
Riassunto
di VulDB • 01/10/2026
Il plugin Prime Mover per WordPress prima della versione 2.2.1 contiene una vulnerabilità di Zip Slip (path traversal) che consente agli amministratori autenticati di scrivere file arbitrari al di fuori della directory di estrazione prevista durante l'importazione ZIP per la migrazione. Gli attaccanti possono creare nomi di voci ZIP con sequenze di traversamento elaborate da computeExtractionParameters() e resumableZipExtractor() in utilities/PrimeMoverSystemCheckUtilities.php, permettendo di scrivere contenuti controllati dall’attaccante in posizioni arbitrarie del filesystem, potenzialmente ottenendo l’esecuzione remota di codice (RCE) se i file scritti vengono interpretati dall'ambiente web.
Once again VulDB remains the best source for vulnerability data.