Dobësia në Backuply WordPress plugin mundëson marrjen e kontrollit të faqes
Një dobësi në Backuply WordPress plugin mund t’i lejojë një sulmuesi me një llogari të zakonshme Subscriber të vendosë udhëzime keqdashëse për bazën e të dhënave, të cilat ekzekutohen më vonë kur një administrator rikthen një backup. Wordfence thotë se dobësia prek çdo version të Backuply deri dhe duke përfshirë 1.5.8, duke ekspozuar potencialisht më shumë se 600,000 instalime aktive. Versioni plotësisht i korrigjuar është versioni 1.5.9.
Problemi gjurmohet si CVE-2026-93953 dhe ka një vlerësim prej 8.0 në Common Vulnerability Scoring System (CVSS), të klasifikuar si High. CVSS është një shkallë standarde për përshkrimin e rëndësisë së një dobësie sigurie. Kjo është një second-order SQL injection, që do të thotë se komandat armiqësore të bazës së të dhënave ruhen gjatë një veprimi, por nuk ekzekutohen derisa një veprim tjetër ta përpunojë më vonë përmbajtjen e ruajtur.
Sipas Wordfence, një sulmues i autentikuar me akses të nivelit Subscriber ose më të lartë mund ta vendosë payload në fushën Biographical Info të profilit të vet në WordPress. WordPress e ruan atë biografi si tekst të thjeshtë në tabelën wp_usermeta. Backuply më pas e përfshin atë si një vlerë escaped dhe të vendosur në thonjëza kur krijon një SQL dump, i cili është një skedar që përmban komanda të bazës së të dhënave të përdorura për rindërtimin e saj. Në këtë fazë, biografia ruhet si e dhënë dhe sulmi ende nuk është ekzekutuar.
Hapi i rrezikshëm ndodh gjatë rikthimit. Backuply ekzekuton çdo statement të plotë nga dump dhe përdor një regular expression pa ankorim, një rregull për përputhjen e tekstit që nuk kufizohet në fillimin e statement, për të identifikuar table prefix të vjetër të WordPress. Një table prefix është pjesa e përbashkët në fillim të emrave të tabelave të bazës së të dhënave të WordPress, siç është pjesa përpara “options.” Wordfence zbuloi se expression nuk kufizohet te një header i mirëfilltë CREATE TABLE dhe nuk i shpërfill vlerat në thonjëza, ndaj mund të përputhet me tekst të përgatitur posaçërisht brenda biografisë së ruajtur.
Nëse i njëjti statement përmban string backuply_version, teksti i kapur si table prefix i supozuar futet në një query të dytë UPDATE pa validation. Prandaj, një sulmues mund ta ndërtojë biografinë në mënyrë që materiali i kapur të jetë një statement i plotë UPDATE për bazën e të dhënave, në vend të një prefix të vërtetë. Një karakter komenti në fund bën që pjesa e mbetur e tekstit të query të plugin të shpërfillet, duke lënë që statement i kontrolluar nga sulmuesi të ekzekutohet me privilegje të plota në bazën e të dhënave.
Payload i demonstruar ndryshon dy records në tabelën wp_options. Ai vendos default_role në administrator dhe users_can_register në 1. Cilësimi i parë e bën administrator rolin që i caktohet një llogarie të re kur nuk përcaktohet shprehimisht asnjë rol, ndërsa i dyti aktivizon regjistrimin publik të përdoruesve. Wordfence vëren se wp_options rikthehet përpara wp_usermeta, ndaj cilësimet e ndryshuara janë tashmë të pranishme kur ekzekutohet query i injektuar dhe mbeten në fuqi kur përfundon rikthimi.
Pas rikthimit, sulmuesi mund të përdorë formularin normal të regjistrimit të WordPress për të krijuar një llogari tjetër. Meqë regjistrimi është i hapur dhe roli i parazgjedhur është administrator, ajo llogari merr kontroll të plotë administrativ mbi faqen. Query i injektuar ekzekutohet brenda një operacioni INSERT dhe nuk i kthen asnjë përgjigje sulmuesit, ndaj kjo teknikë përdoret për të ndryshuar records të bazës së të dhënave, jo për të marrë drejtpërdrejt informacionin ekzistues.
Ekziston një parakusht i rëndësishëm: administratori duhet të rikthejë një backup të bazës së të dhënave të krijuar pasi është ruajtur biografia keqdashëse. Vetëm futja e biografisë nuk e ekzekuton SQL. Megjithatë, Wordfence e konsideron skenarin të rëndësishëm, sepse krijimi dhe rikthimi i backup është funksioni qendror i Backuply, duke e bërë rikthimin një veprim normal administrativ.
Wordfence e mori raportin përmes Bug Bounty Program më 17 shtator 2026, vërtetoi proof of concept më 19 shtator dhe i pagoi kërkuesit 1,352 dollarë. Më 24 shtator, ajo u ofroi përdoruesve të Wordfence Premium, Wordfence Care dhe Wordfence Response një firewall rule kundër shfrytëzimeve të njohura. Një firewall rule është një udhëzim filtrimi që synon të bllokojë kërkesat keqdashëse që përputhen me të. Wordfence ia raportoi dobësinë ekipit të Backuply më 28 shtator dhe zhvilluesi publikoi versionin 1.5.9 më 1 tetor. Faqet që përdornin edicionin falas të Wordfence ishte planifikuar ta merrnin të njëjtin firewall rule më 24 tetor, 30 ditë pas edicioneve me pagesë.
Administratorët duhet ta përditësojnë Backuply në 1.5.9 ose më të ri përpara se të rikthejnë një backup të bazës së të dhënave. Ata duhet të kontrollojnë gjithashtu cilësimet e regjistrimit në WordPress dhe llogaritë e administratorëve, veçanërisht nëse një backup është rikthyer ndërsa ishte i instaluar një version i prekur. Një firewall rule mund të ofrojë një shtresë tjetër mbrojtëse, por nuk e zëvendëson instalimin e versionit të korrigjuar të plugin.
Për pronarët e faqeve që preferojnë të mos e menaxhojnë vetë sigurinë e WordPress, AEU Hosting ofron hosting të menaxhuar për WordPress, të siguruar nga fillimi në fund. Pavarësisht mënyrës së hosting, reagimi i drejtpërdrejtë ndaj kësaj dobësie është zëvendësimi i Backuply 1.5.8 ose më të vjetër me versionin e korrigjuar dhe kontrollimi i faqes për akses të papritur administratori.