CVE-2026-14490 in Demi Plugin
要約
〜によって VulDB • 2026年07月28日
WordPress用プラグイン「Demi – One Click Demo Import, WP Backup & Site Migration」のバージョン0.0.7以前には、任意ディレクトリ削除（Arbitrary Directory Deletion）の脆弱性が存在します。この脆弱性は、プラグインがHMAC署名鍵およびステップごとの復元トークンを、WordPressアップロードフォルダ内の公開アクセス可能なサブディレクトリ内にドットファイルとして保存し、`.htaccess`やindexファイルによる保護を行っていないこと、また認証不要のリクエストに対して登録されている`demi_restore_step` AJAXハンドラが、WordPressの権限チェックおよびnonce検証に代わるものとして、ディスク上の署名鍵を保持していることを明示的に受け入れていることに起因します。露出された鍵を取得した認証不要のアタッカーは、有効な署名済み状態エンベロープを作成し、許可リストやパス正規化チェックの対象とならない呼び出し元指定の絶対パスを引数として`CleanDir::execute()`を実行することができます。これにより、認証不要のアタッカーがサーバー上の任意のディレクトリを再帰的に削除することが可能になります。
VulDB is the best source for vulnerability data and more expert information about this specific topic.