All-in-One WP Migration and Backup 7.110 corrige falha de injeção de SQL na restauração de backups
O que fazer
- Afeta
- Sites com o All-in-One WP Migration and Backup anterior à 7.110
- Quem faz
- Você, em qualquer plano: o que é do site é sempre seu
- Ação
- Atualizar o All-in-One WP Migration and Backup para a 7.110 ou superiorA mais recente hoje é a 7.112.
- Prazo
- Até 27/08já passou7 dias após a publicação. Se ainda não atualizou, atualize agora.
- Exploração
- Pela internet · com login de usuário comum · sem ação da vítima
Passo a passo
- Se o seu site usa o All-in-One WP Migration and Backup, atualize o plugin pelo painel do WordPress para a versão 7.110 ou superior.
Onde vejo a versão: em Plugins › Plugins instalados, logo abaixo do nome de cada plugin.
Administra pelo terminal? Comandos do WP-CLI
- Ver a versão
wp plugin get all-in-one-wp-migration --field=version - Atualizar
wp plugin update all-in-one-wp-migration
O que aconteceu
O plugin All-in-One WP Migration and Backup para WordPress tem uma vulnerabilidade de injeção de SQL (CVE-2026-19949, CVSS 8.8) na função de restauração de arquivos de backup, afetando todas as versões anteriores à 7.110. A falha permite que pessoas sem login insiram comandos no banco de dados do site e extraiam informações sensíveis. Segundo o fornecedor, isso pode ser usado para obter uma chave secreta do plugin quando um administrador restaura um backup e, a partir daí, executar código no servidor. Precisa se preocupar quem usa esse plugin no site, em qualquer plano.
Fonte: registro na Wordfence Intelligence. Copyright 2012–2026 Defiant Inc. Uso conforme a licença da Wordfence Intelligence.
Trecho do aviso original, em inglês
The All-in-One WP Migration and Backup plugin for WordPress is vulnerable to SQL Injection via archive restore functionality in all versions up to, and including, 7.109 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be…
Título original e fonte
ENAll-in-One WP Migration and Backup < 7.110: Unauthenticated Second-Order SQL Injection via Archive Restore to Remote Code Execution
Versões
- Afetadas
- < 7.110
- Corrigida em
- 7.110
- Mais recente
- 7.112
O que são esses termos?
- CVE
- Código único de uma falha de segurança, como CVE-2026-12345. Serve para achar a mesma falha em qualquer fonte.
- CVSS
- Nota de 0 a 10 que mede a gravidade técnica de uma falha. De 9 a 10 é crítica; de 7 a 8,9, alta; de 4 a 6,9, média; abaixo de 4, baixa.
- Exploração
- Como a falha pode ser explorada: pela internet ou só com acesso ao servidor, com ou sem login, com ou sem ajuda de alguém.
- Prazo
- Prazo recomendado para quem precisa agir, contado da publicação. Crítica ou KEV: imediatamente; Alta: em até 7 dias; Média: em até 30 dias; Baixa: na próxima atualização de rotina; Sem nota oficial: em até 7 dias. Vale para o que é do site (WordPress e plugins) em qualquer plano e, no que é do servidor, só para VPS e Cloud: na hospedagem e na revenda, quem atualiza o servidor é a Rapid Cloud.