CVE-2026-14490 in Demi Plugin
Sumário
de VulDB • 28/07/2026
O plugin Demi – One Click Demo Import, WP Backup & Site Migration para WordPress é vulnerável a Deleção Arbitrária de Diretórios em todas as versões até 0.0.7 (incluída). A vulnerabilidade existe porque o plugin armazena sua chave de assinatura HMAC e seu token de restauração por etapa como dotfiles dentro de um subdiretório publicamente acessível na pasta de uploads do WordPress — sem qualquer proteção via `.htaccess` ou arquivo index — e o manipulador AJAX `demi_restore_step`, registrado para chamadores não autenticados, aceita explicitamente a posse da chave de assinatura no disco como alternativa independente às verificações de capacidade (capability) e nonce do WordPress; um atacante não autenticado que recupere a chave exposta pode forjar um envelope de estado assinado válido para invocar `CleanDir::execute()` com um caminho absoluto fornecido pelo chamador, o qual está sujeito a nenhuma verificação de lista permitida (allow-list) ou canonicização de caminho. Isso torna possível que atacantes não autenticados excluam recursivamente diretórios arbitrários no servidor.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.