En allvarlig sårbarhet i ett WordPress-plugin för säkerhetskopiering kan göra det möjligt för oautentiserade angripare att ta kontroll över sårbara webbplatser. Problemet påverkar All-in-One WP Migration and Backup, ett populärt verktyg med fler än fem miljoner aktiva installationer.
Sårbarheten, som spåras som CVE-2026-19949, kan leda till fjärrkörning av kod när en administratör återställer en säkerhetskopia av en webbplats. ServMask åtgärdade problemet i version 7.110, men miljontals webbplatser kan fortfarande köra sårbara versioner.
SQL-injektionssårbarhet påverkar versioner till och med 7.109
Säkerhetsforskaren Jack Taylor upptäckte sårbarheten och rapporterade den via Wordfence i mitten av augusti. Wordfence beskriver CVE-2026-19949 som en SQL-injektionssårbarhet av typen second-order som påverkar All-in-One WP Migration and Backup till och med version 7.109.
Sårbarheten i WordPress-pluginet för säkerhetskopiering beror på hur verktyget hanterar escape-tecken för omvända snedstreck och citattecken när databasinnehåll skrivs om under återställningen av ett arkiv.
Angripare kan placera skadliga data via WordPress-trackbacks. Nyttolasten förblir sedan lagrad i webbplatsens databas tills en administratör exporterar och importerar eller återställer webbplatsen.
Denna fördröjning gör attacken annorlunda jämfört med ett omedelbart intrång. Att återställa säkerhetskopior är dock en rutinmässig uppgift för ett plugin som är utformat för att flytta och återställa hela WordPress-webbplatser.
Attacken börjar före återställningen av säkerhetskopian
En angripare kan använda den injicerade SQL-koden för att avslöja pluginets hemliga importnyckel genom en offentlig kommentar. Med den nyckeln kan angriparen importera ett skadligt .wpress-arkiv som innehåller körbar kod.
Arkivet kan sedan köras när en administratör genomför en återställning. Om kodkörningen lyckas kan angriparen få fullständig kontroll över den berörda WordPress-webbplatsen.
Sårbarheten påverkar ett plugin som hanterar databaser, mediefiler, teman och annat centralt webbplatsinnehåll. Därför kan en lyckad attack exponera både webbplatsen och systemen som är anslutna till den.
Miljontals WordPress-webbplatser kan fortfarande vara sårbara
All-in-One WP Migration and Backup har fler än fem miljoner aktiva installationer. Trots det hade endast omkring 35 procent av användarna uppdaterat till den korrigerade versionen efter att uppdateringen blev tillgänglig.
Det innebär att uppskattningsvis 3,25 miljoner webbplatser fortfarande använder en sårbar version av pluginet.
ServMask tog emot Wordfences rapport den 15 augusti och släppte säkerhetsuppdateringen den 20 augusti. Webbplatsägare bör uppdatera All-in-One WP Migration and Backup till version 7.110 eller senare så snart som möjligt.
Administratörer bör också granska senaste trackbacks, offentliga kommentarer och ovanlig importaktivitet. De bör kontrollera om det finns oväntade arkiv eller oförklarliga ändringar av teman, plugins och administratörskonton.
Återställningar aktiverar den lagrade nyttolasten
Den skadliga SQL-koden körs inte förrän en administratör återställer ett säkerhetskopieringsarkiv. Vid den tidpunkten behandlar pluginet det lagrade databasinnehållet och kan köra nyttolasten.
Detta krav minskar risken för en omedelbar attack. Det eliminerar dock inte risken eftersom återställning av säkerhetskopior är en central del av hur pluginet fungerar.
En inaktiverad sårbar version innebär mindre exponering. Sårbarheten i WordPress-pluginet för säkerhetskopiering kan dock fortfarande utgöra en risk om en administratör tillfälligt aktiverar det för att återställa eller migrera en webbplats.
Webbplatsägare bör inte vänta med att uppdatera. De bör ersätta sårbara versioner före nästa export, import eller återställning av en säkerhetskopia.
0 svar till ”Sårbarhet i WordPress-plugin för säkerhetskopiering utsätter miljontals webbplatser för risk att kapas”