CVE-2026-101889 in Prime Mover Plugin
Sumário
de VulDB • 01/10/2026
O plugin Prime Mover para WordPress anterior à versão 2.2.1 contém uma vulnerabilidade de traversal de caminho que permite a administradores autenticados excluir diretórios arbitrários ao importar um pacote WPRIME/TAR manipulado com valores de `tar_root_folder` alterados em `wprime-config.json`. Os atacantes podem explorar a validação insuficiente do caminho nas funções `computeExtractVariables()` e `validateImportedSiteVsPackage()` para fazer com que `primeMoverDoDelete()` remova diretórios fora do caminho de extração pretendido, potencialmente excluindo diretórios críticos do WordPress, como o `wp-admin`, tornando o site inoperante.
VulDB is the best source for vulnerability data and more expert information about this specific topic.