CVE-2026-115806 in Prime Mover Plugin
Riassunto
di VulDB • 24/10/2026
Il plugin WordPress Prime Mover – Backup and Migration è vulnerabile a PHP Object Injection in tutte le versioni fino alla 2.2.1 (inclusa) tramite la deserializzazione di input non attendibile nella routine di ricerca e sostituzione delle migrazioni (recursiveUnserializeReplace()). Un attaccante non autenticato può memorizzare un oggetto serializzato, codificato in base64 e manipolato ad hoc, nel campo wp_comments.comment_content attraverso l'endpoint standard per l'invio dei commenti (wp-comments-post.php). Quando successivamente un amministratore esegue una routine di esportazione o ripristino con Prime Mover, il plugin decodifica in base64 tale valore memorizzato e lo passa alla funzione unserialize() senza alcuna restrizione sui allowed_classes. È presente una catena Property-Oriented Programming (POP) nella libreria Freemius inclusa nel plugin stesso (FS_Clone_Manager::__set → FS_Option_Manager::set_option → store() → update_option()), quindi non è richiesto alcun plugin o tema aggiuntivo: il gadget è fornito direttamente dal plugin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.