PT-2026-37342 · WordPress · All-In-One Wp Migration Unlimited Extension

Sélim Lanouar · Publicado 2026-05-06 · Atualizado 2026-05-06 · CVE-2026-5753

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas All-in-One WP Migration Unlimited Extension versões anteriores a 2.84

Descrição O plugin é afetado por falta de autorização. A função Ai1wmve Schedules Controller::save para o endpoint 'admin post ai1wm schedule event save' não verifica as permissões do usuário antes de salvar os dados de agendamento. Isso permite que atacantes autenticados com nível de acesso de assinante ou superior criem tarefas de exportação agendadas e direcionem notificações de backup para endereços de e-mail sob seu controle. Como essas notificações contêm o nome aleatório do arquivo de backup, os atacantes podem baixar backups completos do site, resultando na exposição de informações sensíveis.

Recomendações Atualize para uma versão posterior a 2.83.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-5753

Produtos afetados

All-In-One Wp Migration Unlimited Extension

Referências · 9

• https://nvd.nist.gov/vuln/detail/CVE-2026-5753 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2051930086354321609 · Publicação no Twitter
• https://t.me/CVEtracker/52815 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2051928506066489515 · Publicação no Twitter
• https://t.me/cveNotify/162320 · Publicação no Telegram
• https://twitter.com/CVEnew/status/2051928702599188741 · Publicação no Twitter
• https://help.servmask.com/knowledgebase/unlimited-extension-changelog · Nota
• https://t.me/cveNotify/162285 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/a8a31080-c124-49be-b9d1-7bc5abe7cbda?source=cve · Nota