CVE-2026-14490

Nome do Software Vulnerável e Versões Afetadas Demi – One Click Demo Import, WP Backup & Site Migration versões anteriores a 0.0.8

Descrição Um invasor não autenticado pode excluir recursivamente diretórios arbitrários no servidor. Isso ocorre porque o plugin armazena sua chave de assinatura HMAC e o token de restauração por etapa como dotfiles em um subdiretório publicamente acessível da pasta de uploads do WordPress sem a proteção adequada. O manipulador AJAX demi restore step permite que chamadores não autenticados usem a chave de assinatura exposta como uma alternativa às verificações padrão de capacidade e nonce. Ao recuperar essa chave, um invasor pode forjar um envelope de estado assinado para acionar a função CleanDir::execute() usando um caminho absoluto fornecido pelo chamador que carece de verificações de lista de permissões ou canonicalização de caminho.

Recomendações Atualize para uma versão posterior a 0.0.7. Como medida de mitigação temporária, restrinja o acesso público ao subdiretório do plugin dentro da pasta de uploads do WordPress para evitar a recuperação da chave de assinatura HMAC.