CVE-2026-9834

WordPress üçün WP Database Backup – Unlimited Database & Files Backup by Backup for WP plaqini 7.11 versiyası daxil olmaqla bütün versiyalarda `wp_db_exclude_table` parametri vasitəsilə ƏS Əmrinin İnyeksiyasına həssasdır. Bu, `includes/admin/class-wpdb-admin.php` faylındakı `mysqldump()` funksiyasında istifadəçi tərəfindən təqdim edilən `$_POST['wp_db_exclude_table']` dəyərlərinin `escapeshellarg()` ilə əhatə olunmadan birbaşa `mysqldump` shell əmr sətrinə birləşdirilməsi nəticəsində baş verir—həmin əmrdəki bütün digər arqumentlər (DB_USER, DB_PASSWORD, host, fayl adı, DB_NAME) düzgün şəkildə escape edildiyi halda, yalnız exclude-table dəyərləri istisna təşkil edir—həmçinin tətbiq edilən yeganə filtrləmə olan `recursive_sanitize_text_field()` vasitəsilə `sanitize_text_field()` HTML teqlərini silsə də, `;`, `|`, `` ` `` və `$()` kimi shell metasimvollarını toxunulmaz saxlayır. Bu, administrator səviyyəli girişə və daha yüksək imtiyazlara malik autentifikasiyadan keçmiş hücumçulara serverdə ixtiyari əməliyyat sistemi əmrlərini icra etməyə imkan verir və potensial olaraq tam uzaqdan kodun icrasını mümkün edir. İnyeksiya saxlanılandır: plaqin parametrlər forması vasitəsilə təqdim edilən zərərli dəyərlər `update_option('wp_db_exclude_table')` vasitəsilə WordPress options cədvəlində saxlanılır və sonradan `get_option()` ilə əldə edilərək hər hansı ehtiyat nüsxə əməliyyatı zamanı sanitizasiya edilmədən `shell_exec()`-ə ötürülür.