Résumé
généré automatiquement à partir des données NVDLe plugin WordPress Prime Mover – Backup and Migration, jusqu'à la version 2.2.1 incluse, est vulnérable à une injection d'objet PHP (CWE-502) dans la routine de recherche-remplacement de migration, recursiveUnserializeReplace(). Un attaquant non authentifié peut stocker un objet sérialisé encodé en base64 via wp-comments-post.php ; il est désérialisé par unserialize() lorsqu'un administrateur lance un export ou une restauration. Une chaîne POP présente dans la bibliothèque Freemius embarquée permet l'exploitation. Score CVSS v3.1 : 9.8 (critique).
Description NVD (anglais)
The Prime Mover – Backup and Migration plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 2.2.1 via deserialization of untrusted input in the migration search-and-replace routine (recursiveUnserializeReplace()). An unauthenticated attacker can store a crafted, base64-encoded serialized object in wp_comments.comment_content through the standard comment-submission endpoint (wp-comments-post.php). When an administrator subsequently performs a routine Prime Mover export or restore, the plugin base64-decodes that stored value and passes it to unserialize() with no allowed_classes restriction. A Property-Oriented Programming (POP) chain is present in the plugin's own bundled Freemius library (FS_Clone_Manager::__set → FS_Option_Manager::set_option → store() → update_option()), so no additional plugin or theme is required — the plugin ships the gadget itself.
EPSS · FIRST.org
0,82 %de probabilité d'exploitation dans les 30 prochains jours
Supérieure à 56 % des CVE notées
L'EPSS (Exploit Prediction Scoring System) estime, à partir de l'activité d'exploitation observée, la probabilité qu'une CVE soit exploitée dans les 30 prochains jours. Il complète le CVSS, qui mesure la gravité et non la probabilité d'attaque. Score du 24 oct. 2026, recalculé chaque jour par FIRST.org.
Articles d'analyse sur cveo.tech
Nous avons publié une analyse détaillée de cette CVE — exploitation, IOC et mitigation.
Score CVSS v3.1
Informations
- Publié
- 24 oct. 2026
- Mis à jour
- 24 oct. 2026
- Statut
- Received
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (7)
CVEs similaires
Autres vulnérabilités de type CWE-502
Surveillez vos produits
Recevez une alerte automatique à chaque nouvelle CVE affectant vos équipements.