All-in-One WP Migration and Backup verpackt komplette WordPress-Installationen in Archive im Format .wpress, die Administratoren anschließend auf einem beliebigen Zielserver wieder einspielen können. Der Importvorgang selbst ist nicht authentifiziert, sondern wird über einen geheimen Schlüssel abgesichert, der bei jedem Durchlauf der Datenbank-Wiederherstellung gespeichert wird. Genau an diesem Schutzmechanismus setzt CVE-2026-19949 an.
Der von Defiant beschriebene Ablauf beginnt außerhalb des Plugins: Ein Angreifer sendet über die Trackback-Funktion des WordPress-Kerns zwei Trackbacks an einen öffentlich sichtbaren Beitrag. Beide enthalten einen abschließenden Backslash sowie eine URL, die auf die eigentliche Nutzlast verweist. Die Eingaben werden gespeichert, ohne dass die Backslashes entfernt oder die URLs zurückgewiesen werden.
Zum Problem wird das erst später — daher die Einordnung als SQL-Injection zweiter Ordnung. Sobald ein Administrator die Website archiviert und anschließend wieder importiert, schreibt das Plugin URLs und Tabellenpräfixe im gespeicherten SQL um. Dabei wird der zuvor eingeschleuste Inhalt zu ausführbarem SQL befördert. Ergebnis: Der Wert des geheimen Schlüssels landet in einem Kommentar, der freigegeben und damit öffentlich sichtbar wird.
Ab diesem Punkt genügt ein Abruf über die REST-API-Schnittstelle für Kommentare, um den Schlüssel ohne jede Anmeldung auszulesen. Mit dem Schlüssel kann der Angreifer ein präpariertes .wpress-Archiv importieren, das ein bösartiges Must-Use-Plugin enthält. Dieses wird beim nächsten Seitenaufruf ausgeführt — die Codeausführung aus der Ferne ist damit erreicht.
“Wie bei allen Schwachstellen zur Codeausführung aus der Ferne kann dies über Webshells und andere Techniken zur vollständigen Kompromittierung der Website führen”, hält Defiant fest.
Die Kette ist bemerkenswert, weil sie zwei völlig getrennte Funktionsbereiche verbindet: eine Kernfunktion von WordPress zur Verlinkung zwischen Blogs auf der einen Seite und die Umschreiblogik eines Migrationswerkzeugs auf der anderen. Der Angreifer muss den entscheidenden Schritt nicht einmal selbst auslösen — die Umwandlung der hinterlegten Zeichenkette in ausführbares SQL erledigt der Administrator, wenn er seine Website regulär sichert und wieder einspielt.
Die Abhilfe ist eindeutig: Version 7.110 des Plugins schließt die Lücke. Angesichts der Verbreitungszahlen ist der Nachholbedarf allerdings erheblich — zwei Drittel der Installationen liefen zum genannten Stichtag noch auf einer verwundbaren Version.