Sauvegarde de base de données et vérification des tables automatisées avec Scheduler 2024 <= 2.36 - Suppression arbitraire de fichiers (Administrateur+) authentifiée

L'impact principal de cette vulnérabilité réside dans la possibilité pour un attaquant authentifié de supprimer des fichiers critiques sur le serveur WordPress. La suppression de fichiers tels que wp-config.php peut permettre l'exécution de code à distance, donnant à l'attaquant un contrôle total sur le site web. La vulnérabilité est particulièrement préoccupante car elle ne nécessite qu'un accès d'administrateur, un niveau d'accès souvent accordé à plusieurs utilisateurs. Une exploitation réussie pourrait entraîner la compromission complète du serveur, la perte de données, et l'utilisation du serveur pour des activités malveillantes.

WordPress websites utilizing the Database Backup and check Tables Automated With Scheduler plugin, particularly those with shared hosting environments where file permissions may be less restrictive, are at risk. Legacy WordPress installations with outdated plugins and inadequate security practices are also particularly vulnerable.

• wordpress / plugin: Use wp-cli plugin list to identify installations of the Database Backup and check Tables Automated With Scheduler plugin. Check the version number to determine if it is vulnerable.

wp plugin list --status=all | grep 'Database Backup and check Tables Automated With Scheduler'

• wordpress / plugin: Examine plugin files for the databasebackupajax_delete function and any related file path validation logic. Look for instances where user-supplied input is directly used to construct file paths without proper sanitization. • generic web: Monitor web server access logs for requests to the databasebackupajax_delete endpoint, particularly those originating from unusual IP addresses or user agents. Look for patterns indicative of file deletion attempts. • wordpress / composer / npm: While this plugin doesn't use Composer or npm, ensure other plugins are regularly audited for vulnerabilities using composer audit or npm audit.

1. 2025-03-01Disclosure

   disclosure

1. Réservé2025-02-25
2. Publiée2025-03-01
3. Modifiée2025-03-03
4. EPSS mis à jour2026-04-02

La solution la plus efficace est de mettre à jour le plugin "Database Backup and check Tables Automated With Scheduler" vers la version 2.36 ou supérieure. Si la mise à jour n'est pas immédiatement possible, des mesures d'atténuation peuvent être mises en place. Il est fortement recommandé de restreindre l'accès aux fonctions d'administration du plugin et de surveiller attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte. L'utilisation d'un pare-feu applicatif web (WAF) peut également aider à bloquer les tentatives d'exploitation. Vérifiez après la mise à jour que la fonction de suppression de sauvegarde ne permet pas l'accès à des chemins de fichiers arbitraires.