PT-2026-47066 · WordPress · Wpvivid Backup/Migration

Chokri Hammedi · Publicado 2026-06-05 · Atualizado 2026-06-13 · CVE-2025-12656

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.8

Baixa

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas WPvivid Backup & Migration versões anteriores a 0.9.129

Descrição O plugin Migration, Backup, Staging – WPvivid Backup & Migration para WordPress permite que atacantes autenticados com nível de acesso de Administrador ou superior excluam pastas arbitrárias no servidor. Este problema é causado por uma validação insuficiente do caminho do arquivo na função delete cancel staging site(), o que pode levar à perda de dados.

Recomendações Atualize para a versão 0.9.129 ou posterior. Como medida paliativa temporária, restrinja o acesso à função delete cancel staging site() para minimizar o risco de exploração.

Correção

Enumeração de Fraquezas

CWE-73

Identificadores relacionados

CVE-2025-12656

Produtos afetados

Wpvivid Backup/Migration

Referências · 12

• https://twitter.com/atomicedgeWAF/status/2065785276614508612 · Publicação no Twitter
• https://t.me/cveNotify/166309 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3556022%40wpvivid-backuprestore&new=3556022%40wpvivid-backuprestore&sfp_email=&sfph_mail= · Nota
• https://plugins.trac.wordpress.org/browser/wpvivid-backuprestore/tags/0.9.120/includes/staging/class-wpvivid-staging.php#L1268 · Nota
• https://t.me/CVEtracker/56027 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/2f5962e5-3dc7-4f93-889c-d5e3530c7dba?source=cve · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-12656 · Nota de Segurança
• https://wordpress.org/plugins/wpvivid-backuprestore · Nota
• https://twitter.com/infoflowcloud/status/2063584643824189555 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wpvivid-backuprestore/tags/0.9.120/includes/staging/class-wpvivid-staging.php#L1282 · Nota
• https://twitter.com/CVEnew/status/2063584099059609855 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wpvivid-backuprestore/tags/0.9.120/includes/staging/class-wpvivid-staging.php#L1296 · Nota