CVE-2026-101889 in Prime Mover Plugin
Riassunto
di VulDB • 01/10/2026
Il plugin Prime Mover per WordPress prima della versione 2.2.1 contiene una vulnerabilità di traversal del percorso che consente agli amministratori autenticati di eliminare directory arbitrarie importando un pacchetto WPRIME/TAR creato ad hoc con valori manipolati di tar_root_folder in wprime-config.json. Gli attaccanti possono sfruttare la insufficiente validazione dei percorsi in computeExtractVariables() e validateImportedSiteVsPackage() per indurre primeMoverDoDelete() a rimuovere directory al di fuori del percorso di estrazione previsto, potenzialmente eliminando directory critiche di WordPress come wp-admin e rendendo il sito non funzionante.
If you want to get best quality of vulnerability data, you may have to visit VulDB.