WordPress · Snap Creek Duplicator Plugin
CVE-2020-11738
WordPress Snap Creek Duplicator Plugin File Download Vulnerability
Что это
The Snap Creek Duplicator plugin before 1.3.28 for WordPress (and Duplicator Pro before 3.8.7.1) allows Directory Traversal via ../ in the file parameter to duplicator_download or duplicator_init.
CISA: WordPress Snap Creek Duplicator plugin contains a file download vulnerability when an administrator creates a new copy of their site that allows an attacker to download the generated files from their Wordpress dashboard. This vulnerability affects Duplicator and Dulplicator Pro.
Что делать
Apply updates per vendor instructions.
Срок для федеральных ведомств США: 3 мая 2022 г.
- Добавлена в список CISA
- 3 ноября 2021 г.
- Опубликована
- 13 апреля 2020 г.
- Серьёзность
- Высокий 7,5 CVSS 3.0
- Вероятность атак в ближайшие 30 дней (EPSS)
- 98% в верхних 0,1% всех известных уязвимостей
- Тип слабости
- CWE-22
- Подробнее
- NVD · CVE.org · CISA
Все ссылки (5)
- https://snapcreek.com/duplicator/docs/changelog/?lite
- https://www.wordfence.com/blog/2020/02/active-attack-on-recently-patched-duplicator-plugin-vulnerability-affe…
- https://cwe.mitre.org/data/definitions/23.html
- http://packetstormsecurity.com/files/160621/WordPress-Duplicator-1.3.26-Directory-Traversal-File-Read.html
- http://packetstormsecurity.com/files/164533/WordPress-Duplicator-1.3.26-Arbitrary-File-Read.html
Другие эксплуатируемые уязвимости WordPress
| Добавлено | Уязвимость | Продукт | Серьёзность | Вероятность атаки |
|---|---|---|---|---|
| 25 сент. 2026 г. | Remote File Inclusion | Core | Высокий 8,1 | 96% |
| 21 июл. 2026 г. | SQL Injection | Core | Средняя 5,9 | 5,3% |
| 21 июл. 2026 г. | Interpretation Conflict | Core | Критическая 9,8 | 11% |
| 3 нояб. 2021 г. | Cross-Site Scripting (XSS) | Social Warfare Plugin | Средняя 6,1 | 73% |
| 3 нояб. 2021 г. | Remote Code Execution | File Manager Plugin | Критическая 10,0 | 97% |
Источники: Known Exploited Vulnerabilities (CISA, общественное достояние), CVE records (cve.org) и EPSS (FIRST). Вероятность атаки — оценка EPSS того, что кто-то попытается использовать уязвимость в ближайшие 30 дней.