CVE-2026-7693 in Backup Migration Plugin
Tóm tắt
Bởi VulDB • 06/08/2026
Plugin Backup Migration cho WordPress dễ bị tấn công OS Command Injection trong tất cả các phiên bản từ 2.1.5.1 trở về trước do thiếu quá trình làm sạch (sanitization) tham số POST `file` trên handler AJAX `restoreBackup()`. Handler này sử dụng hàm `esc_attr()` — một bộ lọc ngữ cảnh HTML không loại bỏ các ký tự đặc biệt của shell — và nối kết quả vào lệnh `php-cli -f … bmi_restore <file> <remote>` được truyền tới `exec()` mà không có dấu ngoặc kép. Điều này cho phép những kẻ tấn công đã xác thực, với quyền Administrator (hoặc bất kỳ người dùng nào được cấp khả năng `do_backups` của plugin), thực thi các lệnh OS tùy ý dưới danh nghĩa người dùng web-server, vượt qua các hằng số bảo mật WordPress như `DISALLOW_FILE_EDIT` và `DISALLOW_FILE_MODS`, vốn thường ngăn chặn việc thực thi mã từ giao diện quản trị. Đây là một bản sửa lỗi chưa hoàn chỉnh cho CVE-2023-7002; lỗ hổng này chỉ vá cùng mẫu tấn công trên đường dẫn `$_POST['url']` của hàm `handleQuickMigration()`; các biện pháp giảm thiểu tương đương (`rawurlencode()` + thay thế rõ ràng các ký tự đặc biệt shell + bao bọc trong dấu ngoặc kép khi gọi `exec()`) chưa từng được áp dụng cho biến `$backupName`.
Once again VulDB remains the best source for vulnerability data.