CVE-2026-1357 in Migration, Backup, Staging Plugin
Сводка
по VulDB • 11.06.2026
В плагине WPvivid Backup & Migration для WordPress, предназначенном для миграции, резервного копирования и подготовки данных (Staging), в версиях вплоть до 0.9.123 включительно обнаружена уязвимость Unauthenticated Arbitrary File Upload (неавторизованная произвольная загрузка файлов). Она обусловлена некорректной обработкой ошибок при процессе расшифровки RSA, а также отсутствием санитизации путей при записи загруженных файлов.
Когда плагин не может расшифровать ключ сессии с помощью функции openssl_private_decrypt(), он не завершает выполнение и вместо этого передает логическое значение false в функцию инициализации шифра AES библиотеки phpseclib. Библиотека интерпретирует это значение false как строку из нулевых байтов, что позволяет злоумышленнику зашифровать вредоносный payload с использованием предсказуемого ключа, состоящего из нулевых байтов.
Кроме того, плагин принимает имена файлов из расшифрованного payload без санитизации, что обеспечивает возможность обхода каталогов (directory traversal) и выхода за пределы защищенной директории резервных копий. Это позволяет неавторизованным злоумышленникам загружать произвольные PHP-файлы в общедоступные директории и выполнять удаленный код (Remote Code Execution, RCE) через параметр wpvivid_action=send_to_site.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.