Kurze Information: Im WordPress Plugin All-in-One WP Migration and Backup gibt es in älteren Versionen die kritische Sicherheitslücke CVE-2026-19949. Benutzer dieses Plugins sollten dieses dringend aktualisieren, da sonst eine Übernahme der WordPress-Instanz droht.
Das All-in-One WP Migration and Backup-Plugin für WordPress ist in allen Versionen bis einschließlich 7.109 anfällig für die Schwachstelle CVE-2026-19949. Es handelt sich um eine SQL-Injection-Schwachstelle in der Archivwiederherstellungsfunktion. Die vom Benutzer bereitgestellte Parameter werden nicht ausreichend maskiert und die vorhandene SQL-Abfrage wird nicht ausreichend vorbereitet.
Dadurch ist es nicht authentifizierten Angreifern möglich, zusätzliche SQL-Abfragen an bereits vorhandene Abfragen anzuhängen. Damit könnten sensible Informationen aus der Datenbank extrahiert werden. Dies kann ausgenutzt werden, um den ai1wm_secret_key zu erlangen, wenn ein Website-Administrator eine Archivwiederherstellung durchführt. Sobald der Wert des ai1wm_secret_key genutzt werden kann, ist eine Remote-Codeausführung möglich.
Die Schwachstelle wurde von WordFence entdeckt (siehe diesen Artikel mit Verlinkungen) und besitzt einen CVSS 3.x Base Score von 8.8 (High). Benutzer des Plugins sollten dieses dringend aktualisieren, da sonst eine Übernahme der WordPress-Instanz droht. Bleeping Computer hat hier noch einige Informationen dazu veröffentlicht.
MVP: 2013 – 2016
