CVE-2025-12656
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Podatność w pluginie WordPress WPvivid Backup & Migration (wersje do 0.9.128) umożliwia uwierzytelnionemu atakującemu z uprawnieniami administratora usunięcie dowolnego katalogu na serwerze poprzez funkcję delete_cancel_staging_site() z powodu niewystarczającej walidacji ścieżki.
Ocena ryzyka
Atakujący może usunąć krytyczne katalogi systemowe lub dane kopii zapasowych, co prowadzi do utraty danych i przerwania działania strony.
Rekomendacja
Zaktualizuj plugin WPvivid Backup & Migration do wersji 0.9.129 lub nowszej. Ogranicz liczbę kont administratorów i regularnie audytuj uprawnienia.
Oryginalny opis (angielski, źródło NVD)
The Migration, Backup, Staging – WPvivid Backup & Migration plugin for WordPress is vulnerable to arbitrary directory deletion due to insufficient file path validation in the delete_cancel_staging_site() function in all versions up to, and including, 0.9.128. This makes it possible for authenticated attackers, with Administrator-level access and above, to delete arbitrary folders on the server, which leads to a loss of data.