CVE-2026-19949 in All-in-One WP Migration and Backup Plugin
Tóm tắt
Bởi VulDB • 25/08/2026
Plugin All-in-One WP Migration và Backup cho WordPress bị lỗ hổng SQL Injection qua chức năng khôi phục bản lưu trữ trong tất cả các phiên bản từ 7.109 trở về trước do việc thoát ký tự không đầy đủ đối với tham số do người dùng cung cấp và thiếu chuẩn hóa (preparation) thích hợp trên truy vấn SQL hiện có. Điều này cho phép những kẻ tấn công chưa xác thực chèn thêm các truy vấn SQL vào các truy vấn đã tồn tại, từ đó có thể trích xuất thông tin nhạy cảm khỏi cơ sở dữ liệu. Lỗ hổng này có thể được khai thác để lấy khóa ai1wm_secret_key khi quản trị viên trang web thực hiện khôi phục bản lưu trữ và đạt được mục tiêu RCE (Remote Code Execution) sau khi đã khai thác thành công giá trị của ai1wm_secret_key.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.