2.0.1
CVE-2025-14944 describes a Missing Authorization vulnerability found in the BackupBliss – Backup & Migration with Free Cloud Storage plugin for WordPress. An unauthenticated attacker can exploit this flaw to initiate backup upload queue processing, leading to unexpected data transfers and potential resource exhaustion on the server. This vulnerability affects versions up to and including 2.0.0, but a patch is available in version 2.1.0.
Backup Migration插件中的CVE-2025-14944允许未经身份验证的攻击者触发备份上传队列处理。这是由于'initializeOfflineAjax'函数中缺少能力检查以及缺乏适当的nonce验证。该端点仅针对插件JavaScript中公开的硬编码令牌进行验证。攻击者可以利用此漏洞发起意外的备份传输，从而导致服务器过载、拒绝服务或备份数据操作。CVSS严重程度评级为5.3，表明存在中等风险。
攻击者可以使用curl或Postman等工具向易受攻击的端点发送HTTP POST请求，其中包含模拟备份上传的有效负载，从而利用此漏洞。由于令牌验证较弱，攻击者只需使用插件JavaScript中硬编码的令牌即可。由于缺少能力检查，攻击者无需在WordPress网站上进行身份验证即可执行此操作。成功利用可能导致创建多个备份任务，消耗服务器资源并可能中断服务。
漏洞利用状态
EPSS
0.05% (14% 百分位)
CISA SSVC
CVSS 向量
此漏洞的解决方案是将Backup Migration插件更新到版本2.1.0或更高版本。此版本包含必要的修复程序，以在'initializeOfflineAjax'函数中实现适当的能力检查和强大的nonce验证。强烈建议使用此插件的WordPress网站管理员尽快应用更新，以降低被利用的风险。此外，请检查服务器日志中是否存在与插件相关的可疑活动，尤其是在未立即应用更新的情况下。
更新到 2.1.0 版本，或更新的补丁版本
漏洞分析和关键警报直接发送到您的邮箱。
Nonce是一个唯一的一次性数字，用于防止跨站请求伪造（CSRF）攻击。它有助于验证请求是否来自合法的网站，而不是来自恶意来源。
在WordPress管理面板中，转到“插件”。您将看到所有已安装插件的列表，以及可用的更新通知。
如果您怀疑您的网站已被入侵，请立即更改所有管理员密码，扫描网站是否存在恶意软件，并考虑从干净的备份中恢复。
有一些WordPress漏洞扫描器可以检测此漏洞。一些例子包括WPScan和Sucuri SiteCheck。
CVSS（通用漏洞评分系统）是评估安全漏洞严重程度的标准。5.3的评分表明存在中等风险。
上传你的依赖文件，立即了解此CVE和其他CVE是否影响你。