Cenueshmëria në plugin Backuply për WordPress mund të mundësojë marrjen e kontrollit të faqes
Plugin Backuply për WordPress përmban një cenueshmëri SQL injection me rrezikshmëri të lartë, e cila mund ta shndërrojë një llogari të zakonshme me rolin subscriber në akses të plotë administratori pasi të rikthehet një kopje rezervë e databazës. Wordfence thotë se problemi prek çdo version të Backuply deri dhe duke përfshirë versionin 1.5.8. Zhvilluesi publikoi versionin e korrigjuar 1.5.9 më 1 tetor 2026. Backuply, i emërtuar zyrtarisht Backuply - Backup, Restore, Migrate and Clone, ka më shumë se 600,000 instalime aktive.
Cenueshmëria gjurmohet si CVE-2026-93953 dhe ka një vlerësim prej 8.0 në Common Vulnerability Scoring System (CVSS), të klasifikuar si High. SQL injection është një cenueshmëri sigurie ku përmbajtja e kontrolluar nga sulmuesi bëhet pjesë e një komande databaze. Në këtë rast, problemi është një second-order SQL injection: përmbajtja keqdashëse ruhet fillimisht dhe mbetet joaktive derisa plugin ta përpunojë gjatë një veprimi të mëvonshëm. Sulmuesi duhet të ketë tashmë një llogari të autentikuar në WordPress me rolin subscriber ose më të lartë.
Sulmi fillon me fushën Biographical Info, të cilën përdoruesit e regjistruar mund ta ndryshojnë në profilet e tyre. WordPress e ruan këtë vlerë në tabelën wp_usermeta të databazës. Nëse Backuply krijon një kopje rezervë të databazës pasi biografia keqdashëse është ruajtur, ajo vlerë bëhet pjesë e SQL dump, një skedar që përmban komandat e databazës dhe informacionin e ruajtur që përdoret për rindërtimin e saj. Payload nuk ekzekutohet kur futet biografia ose kur krijohet kopja rezervë. Ai aktivizohet vetëm nëse një administrator e rikthen më vonë kopjen rezervë të prekur.
Wordfence zbuloi se procesi i rikthimit i Backuply ekzekuton deklaratat nga SQL dump dhe më pas përdor një regular expression pa ankorim për të identifikuar table prefix të vjetër të WordPress. Një table prefix është pjesa fillestare e emrave të tabelave të databazës që dallon tabelat e një instalimi të WordPress. Shprehja nuk kufizohet në një header të vërtetë CREATE TABLE dhe nuk i shpërfill vlerat brenda thonjëzave, duke e lejuar të përputhet me përmbajtje të krijuar posaçërisht brenda biografisë së ruajtur. Nëse e njëjta deklaratë përmban gjithashtu backuply_version, përmbajtja e kapur futet në një query të dytë UPDATE pa u verifikuar.
Për rrjedhojë, një sulmues mund ta hartojë biografinë në mënyrë që vlera e kapur të trajtohet si komandë databaze dhe jo si table prefix. Një karakter komenti mund të hedhë poshtë pjesën tjetër të query të krijuar nga plugin. Mënyra e demonstruar nga Wordfence ndryshon hyrjet default_role dhe users_can_register në tabelën wp_options, duke aktivizuar regjistrimin publik dhe duke e bërë Administrator rolin automatik për llogaritë e saporegjistruara. Meqë wp_options rikthehet përpara wp_usermeta, këto ndryshime janë tashmë të pranishme kur ekzekutohet query i injektuar dhe mbeten pas rikthimit. Më pas, sulmuesi mund të përdorë formularin normal të regjistrimit për të krijuar një llogari të re me privilegje administratori dhe për të marrë kontrollin e faqes.
Veprimi i injektuar ekzekutohet gjatë një deklarate INSERT dhe nuk i kthen përgjigje sulmuesit. Për këtë arsye, Wordfence e përshkroi si një mënyrë për të ndryshuar record të databazës dhe jo për të marrë drejtpërdrejt të dhënat ekzistuese. Kushti kritik është hapi i rikthimit: një administrator duhet të rikthejë një kopje rezervë të databazës të krijuar pasi ishte ruajtur vlera keqdashëse e profilit. Derisa të ndodhë kjo, payload i ruajtur nuk ekzekutohet. Krijimi dhe rikthimi i kopjeve rezervë janë funksione qendrore të plugin, prandaj ky kusht është i rëndësishëm nga ana operacionale, edhe pse shfrytëzimi nuk është i menjëhershëm.
Wordfence e mori raportimin e cenueshmërisë më 17 shtator 2026, verifikoi proof of concept më 19 shtator dhe u shpërndau një firewall rule përdoruesve të shërbimeve Premium, Care dhe Response më 24 shtator. Kompania ia bëri të ditur problemin ekipit të Backuply më 28 shtator dhe versioni 1.5.9 u publikua më 1 tetor. Wordfence tha se përdoruesit e produktit të saj falas do të merrnin të njëjtin firewall rule më 24 tetor, 30 ditë pas shpërndarjes fillestare. Hulumtuesi që e raportoi cenueshmërinë përmes Wordfence Bug Bounty Program mori 1,352 dollarë. firewall rule u përshkrua si mbrojtje kundër mënyrave të njohura të shfrytëzimit që synojnë plugin e publikuar në WordPress.org, por përditësimi i Backuply mbetet veprimi korrigjues i rekomanduar.
Pronarët e faqeve duhet të konfirmojnë se Backuply po ekzekuton versionin 1.5.9 ose një version më të ri, të shqyrtojnë llogaritë me rolin subscriber dhe t'i trajtojnë me kujdes kopjet rezervë të krijuara ndërsa ishte aktiv një version i cenueshëm. Pas rikthimit të një kopjeje të tillë rezervë, administratorët duhet të verifikojnë që regjistrimi publik nuk është aktivizuar papritur dhe që përdoruesve të rinj nuk u caktohet roli Administrator. Për organizatat që preferojnë mbështetje operacionale për faqet e tyre, AEU Hosting ofron managed WordPress hosting të siguruar end to end.