CVSS 9.0 以上
CVE-2026-115806
要約
WordPress用プラグイン「Prime Mover – Backup and Migration」のバージョン2.2.1までのすべてで、移行時の検索置換処理(recursiveUnserializeReplace())において信頼できない入力がデシリアライズされるため、PHPオブジェクトインジェクションの脆弱性が存在します。認証されていない攻撃者が、コメント投稿エンドポイント(wp-comments-post.php)経由で、細工したbase64エンコード済みのシリアライズ済みオブジェクトをwp_comments.comment_contentに保存できます。管理者がエクスポートまたはリストアを実行すると、プラグインはその値をデコードし、allowed_classesの制限なしでunserialize()に渡し、プラグイン同梱のFreemiusライブラリ内にPOPチェーンが存在します。
AI による要約です(公式発表の本文から作成)。
関連(タグ)
Prime Mover Backup and MigrationWordPressPHPFreemius
このタグの新着を RSS で受け取る: Prime Mover Backup and Migration / WordPress / PHP / Freemius(使い方)
判定の理由
- CVSS 9.0 以上