Uma vulnerabilidade de injeção SQL no plugin All-in-One WP Migration and Backup, para WordPress, pode permitir que atacantes sem autenticação executem código remoto e assumam o controle de sites afetados.
O plugin é usado para fazer backup, exportar, importar e migrar sites inteiros, incluindo banco de dados, mídia, temas e plugins, entre servidores ou domínios.
A falha é monitorada como
CVE-2026-19949
e recebeu classificação de alta gravidade. Ela foi descoberta pelo pesquisador de segurança Jack Taylor, que a reportou em meados de agosto à Wordfence, área de cibersegurança da Defiant.
Em relatório publicado ontem, pesquisadores da Wordfence afirmam que a
CVE-2026-19949
é uma vulnerabilidade de injeção SQL de segunda ordem e afeta as versões do All-in-One WP Migration and Backup até a 7.109.
O problema está ligado à interpretação incorreta de barras invertidas e aspas escapadas enquanto o plugin reescreve o conteúdo do banco de dados durante a restauração de um arquivo.
Um atacante sem autenticação poderia inserir dados malformados por meio de trackbacks do WordPress, que seriam executados quando um administrador exportasse e importasse o site, duas operações comuns para o plugin.
O SQL injetado pode expor a chave secreta de importação do plugin, ai1wm_secret_key, por meio de um comentário público, permitindo que o atacante a obtenha e importe um arquivo .wpress malicioso contendo código executável.
A Wordfence afirma que a execução de código nesse nível de privilégio pode levar à tomada completa do controle do site alvo.
De acordo com estatísticas do WordPress.org, o All-in-One WP Migration and Backup tem mais de 5 milhões de instalações ativas.
Mesmo após a correção do problema pelo fornecedor, apenas cerca de 35% da base de usuários do plugin fez a atualização para a versão mais recente, o que deixa 3,25 milhões de sites rodando uma versão vulnerável do All-in-One WP Migration and Backup.
O payload que aciona o exploit permanece inativo até que o administrador restaure um arquivo de backup. Essa ação faz com que o processamento dos limites das cadeias SQL execute os dados armazenados como SQL.
Embora esse requisito reduza o risco imediato de exploração, a Wordfence observa que, pelo papel do plugin, é esperado que administradores realizem essa ação em algum momento.
“Como backup e restauração são o propósito central deste plugin, trata-se de uma ação rotineira, mas o SQL injetado não será executado até que isso aconteça”, destacou a Wordfence.
Os pesquisadores explicam que uma versão vulnerável desativada representa menor risco, mas ainda pode ser explorada se for ativada temporariamente.
A Wordfence comunicou a falha aos desenvolvedores do All-in-One WP Migration and Backup, da ServMask, em 15 de agosto, após validar a descoberta de Taylor.
Em 20 de agosto, a ServMask corrigiu a vulnerabilidade
CVE-2026-19949
na versão 7.110 do plugin.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...