CVE-2026-89064

Wtyczka All-in-One WP do migracji i tworzenia kopii zapasowych dla WordPressa jest podatna na niewystarczającą ochronę danych uwierzytelniających w wersjach do 7.110 włącznie. Dzieje się tak z powodu metody `Ai1wm_Main_Controller::init()` — zarejestrowanej na haku `admin_init`, która uruchamia się bez uwierzytelnienia na żądaniach `admin-ajax.php` i `admin-post.php` — odczytując `$_SERVER['PHP_AUTH_USER']` i `$_SERVER['PHP_AUTH_PW']` z wszelkich przychodzących żądanie i zapisanie ich w opcji `ai1wm_auth_header` poprzez `update_option()` jako odwracalny ciąg znaków zakodowany w formacie Base64, bez sprawdzania możliwości, weryfikacji jednorazowej, sprawdzania `is_user_logged_in()` lub potwierdzenia, że uwierzytelnianie podstawowe faktycznie się powiodło. Umożliwia to nieuwierzytelnionym atakującym przechwycenie do bazy danych, w odwracalnej formie base64, dowolnego hasła aplikacji WordPress lub podstawowego uwierzytelnienia HTTP przedstawionego `/wp-admin/` przez legalną integrację lub zastąpienie przechowywanych danych uwierzytelniających wartością wybraną przez atakującego poprzez wysłanie anonimowego żądania zawierającego spreparowany nagłówek „Authorization: Basic”. Ma to szczególne znaczenie w środowiskach korzystających z haseł aplikacji WordPress dla interfejsu API REST lub integracji innych firm, ponieważ te poświadczenia są przesyłane jako podstawowe uwierzytelnienie HTTP do `/wp-admin/` i będą dyskretnie zbierane przez tę nieuwierzytelnioną ścieżkę zapisu.