„`html
Zusammenfassung
Das WordPress-Plugin „WP Database Backup – Unlimited Database & Files Backup“ (Versionen bis 7.11) enthält eine kritische OS Command Injection-Schwachstelle (CVE-2026-9834, CVSS 7.2). Die Vulnerability ermöglicht authentifizierten Administratoren die AusfĂĽhrung beliebiger Betriebssystembefehle auf dem Server durch unsanitäte Eingabeverarbeitung des Parameters wp_db_exclude_table.
Betroffene Systeme
- WP Database Backup Plugin: alle Versionen bis einschlieĂźlich 7.11
- WordPress-Installationen mit Administrator-Privilegien
- Server mit aktiviertem mysqldump-Utility
Technische Details
Die Schwachstelle liegt in der Datei includes/admin/class-wpdb-admin.php in der Funktion mysqldump(). Die vom Benutzer ĂĽbergebenen POST-Parameter $_POST['wp_db_exclude_table'] werden direkt in den mysqldump-Shellbefehl konkateniert, ohne diese mit escapeshellarg() zu wrappen.
Während alle anderen Argumente (DB_USER, DB_PASSWORD, Host, Dateiname, DB_NAME) korrekt escaped sind, bleiben Shell-Metazeichen wie ;, |, „ ` „ und $() in den Exclude-Table-Werten erhalten. Die einzige angewendete Filterung (sanitize_text_field()) entfernt nur HTML-Tags, nicht jedoch Shell-Metacharacter.
Die Eingaben werden persistent in der WordPress-Optionstabelle gespeichert und später unsanitärt an shell_exec() übergeben, was eine stored Command Injection ermöglicht.
Empfohlene Massnahmen
- Plugin sofort deaktivieren und deinstallieren
- Auf patched Version aktualisieren (wenn verfĂĽgbar)
- Administratorenkonten überprüfen auf verdächtige Aktivitäten
- Server-Logs auf ungewöhnliche Befehlsausführungen prüfen
- Alternatives Backup-Plugin einsetzen
- Administrative Zugriffe limitieren
Bewertung
Schweregrad: High (CVSS 7.2)
Trotz erforderlicher Administrator-Authentifizierung ermöglicht diese Schwachstelle vollständige Systemkompromittierung. Das Risiko ist erheblich für Umgebungen mit mehreren privilegierten Benutzern oder kompromittierten Admin-Accounts. Aktuell ist kein offizieller Patch verfügbar.
„`