CVE-2026-82814

Duplicator <= 1.5.17 và Duplicator Pro <= 4.6.10 - Tấn công PHP Object Injection không xác thực

Duplicator và Duplicator Pro là hai plugin cho WordPress đều có rủi ro về PHP Object Injection trong tất cả các phiên bản từ 1.5.17 và 4.6.10 trở lại, thông qua deserialization của nội dung cơ sở dữ liệu không tin cậy trong DUPX_UpdateEngine::unserializeTest() trong quá trình di chuyển. Điều này cho phép kẻ tấn công không xác thực lưu một đối tượng đã序列化在公共站点内容之前，然后在管理员构建一个包并稍后执行迁移或导入时运行数据库搜索和替换。Duplicator Free捆绑了一个Requests 1.7 POP链，允许攻击者选择的回调，从而导致直接操作系统命令执行。Duplicator Pro捆绑了一个IndexList析构函数小工具，允许在包含目录可由安装程序PHP进程写的条件下删除攻击者选择的现有文件；删除wp-config.php可以暴露设置向导并导致站点接管和代码执行，如果攻击者首先到达并提供一个他们控制的可访问数据库。必须在载体存储后创建包，并需要后续的管理员迁移操作。

CNA cấp mã

Wordfence

Ngày công bố

21/10/2026

Cập nhật

23/10/2026

CVSS (NVD)

8.8 · HIGH

Loại lỗi (CWE)

CWE-502

EPSS (FIRST)

0.73% khả năng bị khai thác trong 30 ngày