CVE-2026-19949 in All-in-One WP Migration and Backup Plugin
要約
〜によって VulDB • 2026年08月25日
WordPress用All-in-One WP MigrationおよびBackupプラグインは、7.109以前の全バージョンにおいて、アーカイブ復元機能を通じてSQL Injectionの脆弱性に起因する問題を抱えています。これは、ユーザー入力のパラメータに対するエスケープ処理の不十分さと、既存のSQLクエリにおける適切な準備（プレースホルダの使用など）の欠如に起因します。これにより、認証されていない攻撃者は既存のクエリに追加のSQLクエリを付加し、データベースから機密情報を抽出することが可能になります。この脆弱性は、サイト管理者がアーカイブ復元を実行した際にai1wm_secret_keyを取得するために悪用でき、さらにai1wm_secret_keyの値を利用することでリモートコード実行（RCE）を実現することができます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.