CVE-2026-82814

Nome do Software Vulnerável e Versões Afetadas Duplicator versões anteriores a 5.0.0 Duplicator Pro versões anteriores a 5.0.0

Description Uma Injeção de Objeto PHP não autenticada existe devido à desserialização de conteúdo de banco de dados não confiável na função unserializeTest() da classe DUPX UpdateEngine durante a migração. Atacantes podem armazenar um objeto serializado no conteúdo público do site, que é processado quando um administrador cria um pacote e realiza uma migração ou importação envolvendo a substituição de pesquisa no banco de dados. Na versão gratuita, uma cadeia POP do Requests 1.7 permite a execução direta de comandos do sistema operacional via callbacks selecionados pelo atacante. Na versão Pro, um gadget destruturador IndexList permite a exclusão de um arquivo específico se o diretório for gravável pelo processo PHP do instalador; por exemplo, a exclusão do wp-config.php pode acionar o assistente de configuração, levando potencialmente à tomada de controle do site e execução de código se o atacante fornecer um banco de dados sob seu controle.

Recommendations Atualize o Duplicator para a versão 5.0.0. Atualize o Duplicator Pro para a versão 5.0.0.