CVE-2025-12654: WPvivid Backup & Migration umożliwia tworzenie dowolnych katalogów

Co wiadomo

Wtyczka Migration, Backup, Staging – WPvivid Backup & Migration dla WordPressa do wersji 0.9.120 włącznie posiada lukę pozwalającą na tworzenie dowolnych katalogów. Problem wynika z niewłaściwej kontroli funkcji check_filesystem_permissions(), co umożliwia administratorom tworzenie katalogów w nieautoryzowanych lokalizacjach.

Wpływ biznesowy

Luka o niskim poziomie ryzyka pozwala administratorom WordPressa na tworzenie katalogów w dowolnych miejscach systemu plików, co może prowadzić do niezamierzonych zmian w strukturze plików i potencjalnie ułatwić dalsze ataki lub błędy konfiguracji. Organizacje powinny zwrócić uwagę na tę podatność, szczególnie jeśli korzystają z tej wtyczki w środowiskach produkcyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WPvivid Backup & Migration i ich wdrożenie. W przypadku braku łatki warto ograniczyć uprawnienia administratorów oraz monitorować logi systemowe pod kątem nietypowej aktywności związanej z tworzeniem katalogów. Dodatkowo warto przeprowadzić przegląd konfiguracji i ekspozycji serwisu WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference