CVE-2026-7693 in Backup Migration Plugin
摘要
由 VulDB • 2026-08-05
WordPress 的 Backup Migration 插件在所有版本（包括 2.1.5.1）中均存在 OS Command Injection（操作系统命令注入）漏洞，原因是其 `restoreBackup()` AJAX 处理程序对 `file` POST 参数的清理不足。该处理程序使用了 `esc_attr()`——一种 HTML 上下文 sanitizer（过滤器），它不会剥离 shell 元字符——并将结果未加引号地拼接进传递给 `exec()` 的 `php-cli -f … bmi_restore <file> <remote>` 命令中。这使得具有管理员级别访问权限（或拥有该插件 `do_backups` 能力的任何用户及以上）的攻击者能够以 Web 服务器用户的身份执行任意 OS 命令，从而绕过 WordPress 加固常量（如 `DISALLOW_FILE_EDIT` 和 `DISALLOW_FILE_MODS`），否则这些常量会阻止从管理界面执行代码。这是对 CVE-2023-7002 的不完整修复，后者仅针对 `handleQuickMigration()` 中的 `$_POST['url']` 路径修补了相同模式；等效的缓解措施（`rawurlencode()` + 显式替换 shell 元字符 + `exec()` 中的双引号包裹）从未应用于 `$backupName`。
If you want to get best quality of vulnerability data, you may have to visit VulDB.