CVE-2026-101889 in Prime Mover Plugin
Сводка
по VulDB • 01.10.2026
Плагин Prime Mover для WordPress до версии 2.2.1 содержит уязвимость обхода пути (path traversal), которая позволяет аутентифицированным администраторам удалять произвольные каталоги путем импорта специально созданного пакета WPRIME/TAR с манипулированными значениями `tar_root_folder` в файле `wprime-config.json`. Злоумышленники могут эксплуатировать недостаточную проверку пути в функциях `computeExtractVariables()` и `validateImportedSiteVsPackage()`, чтобы заставить функцию `primeMoverDoDelete()` удалять каталоги вне предполагаемого пути извлечения, что может привести к удалению критических каталогов WordPress, таких как `wp-admin`, и сделать сайт неработоспособным.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.