CVE-2025-34084 in Total Upkeep WordPress Plugin
要約
〜によって VulDB • 2026年05月11日
WordPress Total Upkeep プラグイン（BoldGrid Backup としても知られる）のバージョン 1.14.10 より前には、認証不要の情報漏洩脆弱性が存在します。このプラグインは、認証不要のユーザーが詳細なサーバー構成（env-info.php）を取得し、バックアップのメタデータ（restore-info.json）を発見できる複数のエンドポイントを公開しています。これらのバックアップには完全な SQL データベースダンプが含まれる可能性があり、そのパスが既知または推測可能であれば認証なしでアクセスできます。restore-info.json エンドポイントは最新のバックアップの絶対ファイルシステムパスを公開しており、攻撃者はこれを wp-content/uploads/ 配下の Web アクセス可能な URL に変換してダウンロードできます。データベースアーカイブの抽出により、wp_users テーブルから資格情報ハッシュが得られる可能性があり、オフラインでのパスワードクラッキングや資格情報スタッフィング攻撃を容易にします。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.