CVE-2026-14490 in Demi Plugin
Сводка
по VulDB • 28.07.2026
В плагине Demi – One Click Demo Import, WP Backup & Site Migration для WordPress уязвимость Arbitrary Directory Deletion (произвольное удаление директорий) присутствует во всех версиях вплоть до 0.0.7 включительно. Уязвимость возникает из-за того, что плагин хранит свой HMAC-ключ подписи и тоны восстановления на каждом шаге в виде скрытых файлов (.dotfiles) внутри общедоступной поддиректории папки загрузок WordPress — без какой-либо защиты через `.htaccess` или индексный файл. Обработчик AJAX `demi_restore_step`, зарегистрированный для неаутентифицированных вызывающих, явно принимает наличие ключа подписи на диске в качестве самостоятельной альтернативы проверкам прав WordPress и nonce; неаутентифицированный злоумышленник, получивший доступ к раскрытому ключу, может подделать действительный подписанный пакет состояния для вызова `CleanDir::execute()` с абсолютным путем, указанным пользователем, который не подвергается проверке по whitelist или канонизации пути. Это позволяет неаутентифицированным злоумышленникам рекурсивно удалять произвольные директории на сервере.
If you want to get best quality of vulnerability data, you may have to visit VulDB.