PT-2026-30901 · WordPress · Backup Migration

Rafał · Publicado 2026-04-07 · Atualizado 2026-04-07 · CVE-2025-14944

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L

Name of the Vulnerable Software and Affected Versions Backup Migration plugin for WordPress versões até e incluindo 2.0.0

Description O plugin Backup Migration para WordPress é suscetível a acesso não autorizado devido a uma verificação de capacidade ausente na função initializeOfflineAjax e verificação de nonce insuficiente. O plugin valida solicitações em relação a tokens codificados expostos em seu código JavaScript, permitindo que invasores não autenticados iniciem o processamento da fila de upload de backup. Isso pode levar a transferências de backup não intencionais para o armazenamento em nuvem configurado e ao esgotamento de recursos.

Recommendations Atualize para uma versão posterior à 2.0.0

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2025-14944

Produtos afetados

Backup Migration

Referências · 7

• https://twitter.com/infoflowcloud/status/2041570673827402034 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2041569993054388257 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/a2a41a15-0743-48cc-8c92-7cb839fa5847?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset?old=3386897&old_path=backup-backup%2Ftags%2F2.0.0%2Fincludes%2Foffline.php&new=3449635&new_path=backup-backup%2Ftags%2F2.1.0%2Fincludes%2Foffline.php · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-14944 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/backup-backup/trunk/includes/offline.php#L29 · Nota
• https://plugins.trac.wordpress.org/browser/backup-backup/trunk/includes/ajax_offline.php#L112 · Nota