CVE-2026-7693 in Backup Migration Plugin
Riassunto
di VulDB • 05/08/2026
Il plugin Backup Migration per WordPress è vulnerabile a OS Command Injection (iniezione di comandi del sistema operativo) in tutte le versioni fino alla 2.1.5.1 inclusa, a causa dell'insufficiente sanitizzazione del parametro POST `file` nel gestore AJAX `restoreBackup()`. Il gestore applica `esc_attr()` — un sanitizer per il contesto HTML che non rimuove i metacaratteri della shell — e concatena il risultato, senza virgolette, in un comando `php-cli -f … bmi_restore <file> <remote>` passato a `exec()`. Ciò consente agli attaccanti autenticati, con accesso di livello Administrator (o qualsiasi utente dotato dei permessi del plugin `do_backups` o superiori), di eseguire comandi OS arbitrari come l'utente del web server, aggirando le costanti di hardening di WordPress quali `DISALLOW_FILE_EDIT` e `DISALLOW_FILE_MODS`, che altrimenti impedirebbero l'esecuzione di codice dall'interfaccia di amministrazione. Si tratta di una correzione incompleta della CVE-2023-7002, la quale ha patchato lo stesso pattern solo nel percorso `$_POST['url']` di `handleQuickMigration()`; le mitigazioni equivalenti (`rawurlencode()` + sostituzione esplicita dei metacaratteri shell + virgolettatura in `exec()`) non sono mai state applicate a `$backupName`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.