В плагине All-in-One WP Migration and Backup для WordPress Для просмотра ссылки Войди или Зарегистрируйся, связанную с SQL-инъекцией, которая позволяет удаленно выполнить код без аутентификации и полностью скомпрометировать сайт. По оценке специалистов, в настоящее время уязвимые версии плагина установлены примерно на 3,2 млн ресурсов.
Уязвимость получила идентификатор CVE-2026-19949 (8,8 балла по шкале CVSS) и затрагивает все версии All-in-One WP Migration and Backup до 7.109 включительно.
Плагин All-in-One WP Migration предназначен для резервного копирования данных и миграции WordPress-сайтов. Он упаковывает весь сайт вместе с базой данных, темами, медиафайлами и расширениями в архив .wpress, который затем можно импортировать на другой сервер. Сам импорт не требует аутентификации, однако защищен секретным ключом ai1wm_secret_key.
CVE-2026-19949 представляет собой SQL-инъекцию, связанную с некорректной обработкой экранированных обратных слешей и кавычек при восстановлении базы данных из архива. Так, неаутентифицированный атакующий может отправлять специально подготовленные trackback-запросы к публичной публикации WordPress. В результате вредоносные данные сохраняются в базе, хотя сами по себе ничего не делают. Эксплоит срабатывает позднее, когда администратор создает резервную копию сайта, а затем импортирует ее через All-in-One WP Migration.
Дело в том, что во время восстановления данных плагин переписывает URL и префиксы таблиц в сохраненном SQL-дампе. В результате заранее подготовленные атакующим данные превращаются в исполняемый SQL-запрос, который записывает секретный ключ плагина в комментарий и делает его публично доступным.
После этого злоумышленник может получить ключ через публичный эндпоинт комментариев WordPress REST API и использовать его для импорта собственного .wpress-архива. Как объясняют специалисты Wordfence, в такой архив можно поместить вредоносный must-use плагин, который автоматически выполнится при следующей загрузке страницы. В итоге атакующий получит возможность удаленного выполнения кода и фактически полный контроль над уязвимым сайтом.
Специалисты компании ServMask, которая разрабатывает All-in-One WP Migration, получили информацию о проблеме еще 15 августа 2026 года и уже 20 августа выпустили исправленную версию плагина — 7.110.
По данным WordPress.org по состоянию на начало сентября, до версии 7.110 обновились лишь около 35% пользователей. Таким образом, примерно 3,2 млн сайтов по-прежнему используют уязвимые версии плагина.
Для просмотра ссылки Войдиили Зарегистрируйся
Для просмотра ссылки Войдиили Зарегистрируйся
Уязвимость получила идентификатор CVE-2026-19949 (8,8 балла по шкале CVSS) и затрагивает все версии All-in-One WP Migration and Backup до 7.109 включительно.
Плагин All-in-One WP Migration предназначен для резервного копирования данных и миграции WordPress-сайтов. Он упаковывает весь сайт вместе с базой данных, темами, медиафайлами и расширениями в архив .wpress, который затем можно импортировать на другой сервер. Сам импорт не требует аутентификации, однако защищен секретным ключом ai1wm_secret_key.
CVE-2026-19949 представляет собой SQL-инъекцию, связанную с некорректной обработкой экранированных обратных слешей и кавычек при восстановлении базы данных из архива. Так, неаутентифицированный атакующий может отправлять специально подготовленные trackback-запросы к публичной публикации WordPress. В результате вредоносные данные сохраняются в базе, хотя сами по себе ничего не делают. Эксплоит срабатывает позднее, когда администратор создает резервную копию сайта, а затем импортирует ее через All-in-One WP Migration.
Дело в том, что во время восстановления данных плагин переписывает URL и префиксы таблиц в сохраненном SQL-дампе. В результате заранее подготовленные атакующим данные превращаются в исполняемый SQL-запрос, который записывает секретный ключ плагина в комментарий и делает его публично доступным.
После этого злоумышленник может получить ключ через публичный эндпоинт комментариев WordPress REST API и использовать его для импорта собственного .wpress-архива. Как объясняют специалисты Wordfence, в такой архив можно поместить вредоносный must-use плагин, который автоматически выполнится при следующей загрузке страницы. В итоге атакующий получит возможность удаленного выполнения кода и фактически полный контроль над уязвимым сайтом.
Специалисты компании ServMask, которая разрабатывает All-in-One WP Migration, получили информацию о проблеме еще 15 августа 2026 года и уже 20 августа выпустили исправленную версию плагина — 7.110.
По данным WordPress.org по состоянию на начало сентября, до версии 7.110 обновились лишь около 35% пользователей. Таким образом, примерно 3,2 млн сайтов по-прежнему используют уязвимые версии плагина.
Для просмотра ссылки Войди
Для просмотра ссылки Войди