Kurze Information: Im WordPress Plugin All-in-One WP Migration and Backup gibt es in älteren Versionen die kritische Sicherheitslücke CVE-2026-19949. Benutzer dieses Plugins sollten dieses dringend aktualisieren, da sonst eine Übernahme der WordPress-Instanz droht.
Das All-in-One WP Migration and Backup-Plugin für WordPress ist in allen Versionen bis einschließlich 7.109 anfällig für die Schwachstelle CVE-2026-19949. Es handelt sich um eine SQL-Injection-Schwachstelle in der Archivwiederherstellungsfunktion. Die vom Benutzer bereitgestellte Parameter werden nicht ausreichend maskiert und die vorhandene SQL-Abfrage wird nicht ausreichend vorbereitet.
Dadurch ist es nicht authentifizierten Angreifern möglich, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen. Damit könnten sensible Informationen aus der Datenbank extrahiert werden. Dies kann ausgenutzt werden, um den ai1wm_secret_key zu erlangen, wenn ein Website-Administrator eine Archivwiederherstellung durchführt. Sobald der Wert des ai1wm_secret_key genutzt werden kann, ist eine Remote-Codeausführung möglich.
Die Schwachstelle wurde von WordFence entdeckt (siehe diesen Artikel mit Verlinkungen) und besitzt einen CVSS 3.x Base Score von 8.8 (High). Benutzer des Plugins sollten dieses dringend aktualisieren, da sonst eine Übernahme der WordPress-Instanz droht. Bleeping Computer hat hier noch einige Informationen dazu veröffentlicht.
MVP: 2013 – 2016
Die Übernahme ist nur dann möglich, wenn vom Angreifer VOR dem Erstellen des Archivs bestimmte Daten als sog. Ping-/Trackback hinterlassen und mitgesichert wurden und dann später dieses Archiv wieder eingespielt wird.
Mehr zur WordPress Ping-/Trackback Funktion hier: https://wordpress.org/documentation/article/trackbacks-and-pingbacks/
PS. Der Link zum Wordfence Artikel im Beitrag ist falsch, er zeigt derzeit auch zu nist.gov, korrekt wäre https://www.wordfence.com/blog/2026/09/5-million-wordpress-sites-affected-by-sql-injection-vulnerability-in-all-in-one-wp-migration-and-backup-wordpress-plugin/
Was soll auch schon schlimmes passieren wenn ein Plugin mal in einem DB Dump Tabellen umbenennt, per regex.