WordPress · Wpvivid Backup/Migration · CVE-2026-1357
**Nome do Software Vulnerável e Versões Afetadas**
Migration, Backup, Staging – WPvivid Backup & Migration versões anteriores a 0.9.124
**Descrição**
O plugin está sujeito ao upload arbitrário de arquivos não autenticado, que pode levar à execução remota de código e ao controle total do site. Este problema afeta aproximadamente 800.000 a 900.000 dispositivos em todo o mundo. A falha ocorre quando o recurso "receber backup de outro site" está ativado, o qual gera uma chave que expira em 24 horas.
Detalhes técnicos envolvem o tratamento inadequado de erros durante o processo de descriptografia RSA. Quando a função `openssl private decrypt()` falha, o plugin passa um valor booleano falso para a inicialização da cifra AES da biblioteca phpseclib. A biblioteca interpreta isso como uma string de bytes nulos, permitindo que um invasor criptografe um payload malicioso usando uma chave de byte nulo previsível. Além disso, a falta de sanitização de caminho permite a travessia de diretório para escapar do diretório de backup protegido e gravar arquivos PHP em diretórios públicos através do endpoint 'wpvivid action=send to site'.
**Recomendações**
Atualize para a versão 0.9.124 ou posterior.
Desative o recurso "receber backup de outro site", a menos que seja estritamente necessário.