WordPress · Snap Creek Duplicator Plugin
CVE-2020-11738
WordPress Snap Creek Duplicator Plugin File Download Vulnerability
Cos'è
The Snap Creek Duplicator plugin before 1.3.28 for WordPress (and Duplicator Pro before 3.8.7.1) allows Directory Traversal via ../ in the file parameter to duplicator_download or duplicator_init.
CISA: WordPress Snap Creek Duplicator plugin contains a file download vulnerability when an administrator creates a new copy of their site that allows an attacker to download the generated files from their Wordpress dashboard. This vulnerability affects Duplicator and Dulplicator Pro.
Cosa fare
Apply updates per vendor instructions.
Scadenza per le agenzie federali USA: 3 maggio 2022
- Aggiunta all'elenco CISA
- 3 novembre 2021
- Pubblicato
- 13 aprile 2020
- Gravità
- Alta 7,5 CVSS 3.0
- Probabilità di attacchi nei prossimi 30 giorni (EPSS)
- 98% tra il 0,1% più alto di tutte le vulnerabilità note
- Tipo di debolezza
- CWE-22
- Più dettagli
- NVD · CVE.org · CISA
Tutte le fonti (5)
- https://snapcreek.com/duplicator/docs/changelog/?lite
- https://www.wordfence.com/blog/2020/02/active-attack-on-recently-patched-duplicator-plugin-vulnerability-affe…
- https://cwe.mitre.org/data/definitions/23.html
- http://packetstormsecurity.com/files/160621/WordPress-Duplicator-1.3.26-Directory-Traversal-File-Read.html
- http://packetstormsecurity.com/files/164533/WordPress-Duplicator-1.3.26-Arbitrary-File-Read.html
Altre falle sfruttate di WordPress
| Aggiunto | Vulnerabilità | Prodotto | Gravità | Probabilità di attacco |
|---|---|---|---|---|
| 25 set 2026 | Remote File Inclusion | Core | Alta 8,1 | 96% |
| 21 lug 2026 | SQL Injection | Core | Media 5,9 | 5,3% |
| 21 lug 2026 | Interpretation Conflict | Core | Critica 9,8 | 11% |
| 3 nov 2021 | Cross-Site Scripting (XSS) | Social Warfare Plugin | Media 6,1 | 73% |
| 3 nov 2021 | Remote Code Execution | File Manager Plugin | Critica 10,0 | 97% |
Fonti: Known Exploited Vulnerabilities (CISA, pubblico dominio), CVE records (cve.org) e EPSS (FIRST). La probabilità di attacco è la stima EPSS che qualcuno provi a sfruttare la falla nei prossimi 30 giorni.