CVE-2026-89064

WordPress için All-in-One WP Migration and Backup eklentisi, 7.110 dahil önceki sürümlerde Yetersiz Kimlik Bilgisi Korumasına karşı savunmasızdır. Bu durum; `admin-ajax.php` ve `admin-post.php` isteklerinde kimlik doğrulaması yapılmadan tetiklenen `admin_init` kancasına kayıtlı olan `Ai1wm_Main_Controller::init()` metodunun, gelen herhangi bir istekten `$_SERVER['PHP_AUTH_USER']` ve `$_SERVER['PHP_AUTH_PW']` değerlerini okuması ve bunları hiçbir yetenek kontrolü, nonce doğrulaması, `is_user_logged_in()` kontrolü veya Temel kimlik doğrulamasının gerçekten başarılı olduğuna dair onay olmaksızın, geri döndürülebilir base64 ile kodlanmış bir dize olarak `update_option()` aracılığıyla `ai1wm_auth_header` seçeneğine yazmasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların, meşru bir entegrasyon tarafından `/wp-admin/` adresine sunulan herhangi bir WordPress Uygulama Şifresini veya HTTP Basic kimlik bilgisini geri döndürülebilir base64 formatında veritabanına kaydetmesini veya özel olarak hazırlanmış bir `Authorization: Basic` başlığı taşıyan anonim bir istek göndererek kayıtlı kimlik bilgisini saldırgan tarafından belirlenen bir değerle değiştirmesini mümkün kılmaktadır. Bu durum, özellikle REST API veya üçüncü taraf entegrasyonlar için WordPress Uygulama Şifrelerinin kullanıldığı ortamlarda oldukça etkilidir; çünkü bu kimlik bilgileri `/wp-admin/` adresine HTTP Basic auth olarak iletilir ve bu kimlik doğrulaması gerektirmeyen yazma yolu üzerinden sessizce toplanabilir.