Более 3 миллионов сайтов WordPress подвержены SQL-уязвимости плагина All-in-One WP Migration and Backup. Уязвимость высокой степени опасности (CVE-2026-19949, CVSS 8,8)) позволяет неавторизованным злоумышленникам удаленно выполнять код, о чем предупредила Defian. Проблема описывается как SQL-инъекция второго порядка в функции восстановления архива плагина. Как поясняет Defiant, недостаток заключается в том, что вводимые пользователем данные недостаточно экранированы, а существующие SQL-запросы недостаточно подготовлены. Злоумышленник реализовать вредоносный контент через функцию отслеживания ссылок ядра WordPress, дабы извлечь секретный ключ, использованный во время операции восстановления архива, а затем использовать его для развертывания вредоносного плагина и RCE. Комплексное решение для миграции и резервного копирования WordPress упаковывает сайты в архивы .wpress и позволяет администраторам восстанавливать архив на любом целевом сервере. Операция импорта не требует аутентификации, но защищена секретным ключом, который сохраняется при каждом восстановлении базы данных. CVE-2026-19949 позволяет злоумышленнику отправить два трекбэка к общедоступному сообщению, каждый из которых содержит обратную косую черту в конце и URL-адрес, ведущий к полезной нагрузке. Входные данные сохраняются без удаления обратных косых черт и без отклонения URL-адресов. После того как администратор архивирует, а затем импортирует сайт, плагин переписывает URL-адреса и префиксы таблиц в сохраненном SQL-коде. Предоставленные злоумышленником входные данные преобразуются в исполняемый SQL-код, в результате чего значение секретного ключа записывается в комментарий, который утверждается и становится общедоступным. Неавторизованный злоумышленник может затем получить секретный ключ из конечной точки REST API комментариев сайта и использовать его для импорта специально созданного архива .wpress, содержащего вредоносный обязательный для использования плагин, который запускается при следующей загрузке страницы, что приводит к RCE. По итогу, как и в случае со всеми уязвимостями удаленного выполнения кода, это может привести к полной компрометации сайта с помощью веб-оболочек и других методов. Уязвимость затрагивает все версии All-in-One WP Migration and Backup до 7.109 включительно и была исправлена в версии 7.110, выпущенной 20 августа. Стоит отметить, что All-in-One WP Migration and Backup - весьма популярный инструмент для резервного копирования и восстановления WordPress, который имеет более 5 млн. активных установок. По состоянию на 3 сентября только 35% всех установок были обновлены до версии 7.110, что означает, что примерно 3,2 миллиона сайтов используют уязвимую версию плагина, если верить статистике WordPress.