Плагин WordPress All-in-One WP Migration and Backup до версии 7.108 не ограничивает возможности импорта миграции сетевыми администраторами при многосайтовых установках, позволяя администратору одного дочернего сайта выполнять произвольный код PHP по всей сети.
Показать оригинальное описание (EN)
The All-in-One WP Migration and Backup WordPress plugin before 7.108 does not restrict its migration import functionality to network administrators on multisite installations, allowing an administrator of a single subsite to execute arbitrary PHP code across the entire network.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Высокое
Полная модификация данных
Доступность
Высокое
Полный отказ в обслуживании
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
unknown:all-in-one wp migration and backup