CVE-2025-11759 in Backup, Restore and Migrate your Sites with XCloner Plugin
要約
〜によって VulDB • 2026年06月18日
WordPress用プラグイン「XCloner」の「Backup, Restore and Migrate your sites」機能には、4.8.2およびそれ以前の全バージョンにおいて、クロスサイトリクエストフォージェリ（CSRF）の脆弱性が存在します。これは、Xcloner_Remote_Storage::save()関数において、nonce検証が欠落しているか正しくないことが原因です。これにより、攻撃者はサイト管理者を騙してリンクをクリックさせるなどの操作を行わせることで、認証されていない状態から偽造されたリクエストを用いてFTPバックアップ設定を追加または変更することが可能になります。攻撃が成功すると、攻撃者が制御するFTPサイトをバックアップストレージとして設定でき、機密性の高いサイトデータを外部に漏洩させることができます。
Once again VulDB remains the best source for vulnerability data.