En alvorlig sårbarhet i et WordPress-plugin for sikkerhetskopiering kan gjøre det mulig for uautentiserte angripere å ta kontroll over sårbare nettsteder. Problemet påvirker All-in-One WP Migration and Backup, et mye brukt verktøy med mer enn fem millioner aktive installasjoner.
Sårbarheten, som spores som CVE-2026-19949, kan føre til ekstern kjøring av kode når en administrator gjenoppretter en sikkerhetskopi av et nettsted. ServMask rettet problemet i versjon 7.110, men millioner av nettsteder kan fortsatt kjøre sårbare versjoner.
SQL-injeksjonssårbarhet påvirker versjoner til og med 7.109
Sikkerhetsforskeren Jack Taylor oppdaget sårbarheten og rapporterte den gjennom Wordfence i midten av august. Wordfence beskriver CVE-2026-19949 som en second-order SQL-injeksjonssårbarhet som påvirker All-in-One WP Migration and Backup til og med versjon 7.109.
Sårbarheten i WordPress-pluginet for sikkerhetskopiering skyldes hvordan verktøyet håndterer escape-tegn for omvendte skråstreker og anførselstegn når databaseinnhold skrives om under gjenoppretting av et arkiv.
Angripere kan plassere ondsinnede data gjennom WordPress-trackbacks. Nyttelasten forblir deretter lagret i nettstedets database til en administrator eksporterer og importerer eller gjenoppretter nettstedet.
Denne forsinkelsen gjør angrepet annerledes enn en umiddelbar kompromittering. Gjenoppretting av sikkerhetskopier er imidlertid en rutineoppgave for et plugin som er utviklet for å flytte og gjenopprette hele WordPress-nettsteder.
Angrepet begynner før sikkerhetskopien gjenopprettes
En angriper kan bruke den injiserte SQL-koden til å avsløre pluginets hemmelige importnøkkel gjennom en offentlig kommentar. Med denne nøkkelen kan angriperen importere et ondsinnet .wpress-arkiv som inneholder kjørbar kode.
Arkivet kan deretter kjøres når en administrator utfører en gjenoppretting. Vellykket kjøring av kode kan gi angriperen full kontroll over det berørte WordPress-nettstedet.
Sårbarheten påvirker et plugin som håndterer databaser, mediefiler, temaer og annet sentralt innhold på nettstedet. Et vellykket angrep kan derfor eksponere både nettstedet og systemene som er koblet til det.
Millioner av WordPress-nettsteder kan fortsatt være sårbare
All-in-One WP Migration and Backup har mer enn fem millioner aktive installasjoner. Likevel hadde bare rundt 35 prosent av brukerne oppdatert til den rettede versjonen etter at oppdateringen ble tilgjengelig.
Det betyr at anslagsvis 3,25 millioner nettsteder fortsatt kjører en sårbar versjon av pluginet.
ServMask mottok Wordfences rapport 15. august og lanserte sikkerhetsoppdateringen 20. august. Nettstedseiere bør oppdatere All-in-One WP Migration and Backup til versjon 7.110 eller nyere så snart som mulig.
Administratorer bør også gjennomgå nylige trackbacks, offentlige kommentarer og uvanlig importaktivitet. De bør se etter uventede arkiver eller uforklarlige endringer i temaer, plugins og administratorkontoer.
Gjenoppretting utløser den lagrede nyttelasten
Den ondsinnede SQL-koden kjøres ikke før en administrator gjenoppretter et sikkerhetskopiarkiv. På dette tidspunktet behandler pluginet det lagrede databaseinnholdet og kan kjøre nyttelasten.
Dette kravet reduserer sannsynligheten for et umiddelbart angrep. Det fjerner likevel ikke risikoen fordi gjenoppretting av sikkerhetskopier er en sentral del av hvordan pluginet fungerer.
En deaktivert sårbar versjon innebærer mindre eksponering. Sårbarheten i WordPress-pluginet for sikkerhetskopiering kan imidlertid fortsatt utgjøre en risiko dersom en administrator midlertidig aktiverer det for å gjenopprette eller migrere et nettsted.
Nettstedseiere bør ikke vente med å oppdatere. De bør erstatte sårbare versjoner før neste eksport, import eller gjenoppretting av en sikkerhetskopi.
0 responses to “Sårbarhet i WordPress-plugin for sikkerhetskopiering setter millioner av nettsteder i fare for å bli overtatt”