WordPress · Snap Creek Duplicator Plugin
CVE-2020-11738
WordPress Snap Creek Duplicator Plugin File Download Vulnerability
Was es ist
The Snap Creek Duplicator plugin before 1.3.28 for WordPress (and Duplicator Pro before 3.8.7.1) allows Directory Traversal via ../ in the file parameter to duplicator_download or duplicator_init.
CISA: WordPress Snap Creek Duplicator plugin contains a file download vulnerability when an administrator creates a new copy of their site that allows an attacker to download the generated files from their Wordpress dashboard. This vulnerability affects Duplicator and Dulplicator Pro.
Was zu tun ist
Apply updates per vendor instructions.
Frist für US-Bundesbehörden: 3. Mai 2022
- Zur CISA-Liste hinzugefügt
- 3. November 2021
- Veröffentlicht
- 13. April 2020
- Schweregrad
- Hoch 7,5 CVSS 3.0
- Wahrscheinlichkeit von Angriffen in den nächsten 30 Tagen (EPSS)
- 98% unter den obersten 0,1% aller bekannten Schwachstellen
- Schwachstellentyp
- CWE-22
- Mehr Details
- NVD · CVE.org · CISA
Alle Quellen (5)
- https://snapcreek.com/duplicator/docs/changelog/?lite
- https://www.wordfence.com/blog/2020/02/active-attack-on-recently-patched-duplicator-plugin-vulnerability-affe…
- https://cwe.mitre.org/data/definitions/23.html
- http://packetstormsecurity.com/files/160621/WordPress-Duplicator-1.3.26-Directory-Traversal-File-Read.html
- http://packetstormsecurity.com/files/164533/WordPress-Duplicator-1.3.26-Arbitrary-File-Read.html
Weitere ausgenutzte Schwachstellen von WordPress
| Hinzugefügt | Schwachstelle | Produkt | Schweregrad | Angriffswahrscheinlichkeit |
|---|---|---|---|---|
| 25.09.2026 | Remote File Inclusion | Core | Hoch 8,1 | 96% |
| 21.07.2026 | SQL Injection | Core | Mittel 5,9 | 5,3% |
| 21.07.2026 | Interpretation Conflict | Core | Kritisch 9,8 | 11% |
| 03.11.2021 | Cross-Site Scripting (XSS) | Social Warfare Plugin | Mittel 6,1 | 73% |
| 03.11.2021 | Remote Code Execution | File Manager Plugin | Kritisch 10,0 | 97% |
Quellen: Known Exploited Vulnerabilities (CISA, gemeinfrei), CVE records (cve.org) und EPSS (FIRST). Die Angriffswahrscheinlichkeit ist die EPSS-Schätzung, dass jemand in den nächsten 30 Tagen versucht, die Schwachstelle auszunutzen.