CVE-2026-101889 in Prime Mover Plugin
Tóm tắt
Bởi VulDB • 01/10/2026
Plugin Prime Mover cho WordPress trước phiên bản 2.2.1 chứa một lỗ hổng traversal đường dẫn (path traversal) cho phép các quản trị viên đã xác thực xóa các thư mục tùy ý bằng cách nhập gói WPRIME/TAR được tạo ra với giá trị `tar_root_folder` bị thao túng trong file `wprime-config.json`. Kẻ tấn công có thể khai thác việc kiểm tra đường dẫn không đầy đủ trong hàm `computeExtractVariables()` và `validateImportedSiteVsPackage()` để khiến hàm `primeMoverDoDelete()` xóa các thư mục nằm ngoài đường dẫn trích xuất dự kiến, có khả năng xóa các thư mục quan trọng của WordPress như `wp-admin` và làm cho trang web ngừng hoạt động.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.