Prime Mover Backup and Migration: PHP Object Injection über Kommentare

Zusammenfassung

Das WordPress-Plugin Prime Mover – Backup and Migration deserialisiert bis und mit Version 2.2.1 unvertrauenswürdige Daten in seiner Suchen-und-Ersetzen-Routine für Migrationen. Ein nicht authentifizierter Angreifer kann über das öffentliche Kommentarformular ein manipuliertes, base64-kodiertes serialisiertes Objekt speichern. Führt später ein Administrator einen Export oder eine Wiederherstellung durch, deserialisiert das Plugin es, und eine Gadget-Kette in der mitgelieferten Freemius-Bibliothek kann zur Ausführung von Code oder zur Manipulation von Daten auf dem Server missbraucht werden (CVSS 9.8).

Betroffen

• Plugin Prime Mover – Backup and Migration für WordPress, alle Versionen bis und mit 2.2.1
• Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag ist der betroffene Bereich 0 bis 2.2.1)

Behoben in

• Version 2.2.2 oder neuer
• Das Changelog des Herstellers zu Version 2.2.2 erwähnt eine gehärtete unserialize-Implementierung und eine aktualisierte Freemius-SDK. Die CVE wird darin nicht genannt.

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Bis das Plugin aktualisiert ist: deaktivieren, Export- oder Wiederherstellungsjobs vermeiden und aktuelle Kommentare auf ungewöhnliche base64-ähnliche Inhalte prüfen.

Ausnutzung

• Nicht in CISA KEV aufgeführt; EPSS unter 1 Prozent.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung in freier Wildbahn gefunden.
• Es existiert ein Nuclei-Erkennungstemplate-PR; es handelt sich um ein Erkennungswerkzeug, nicht um einen Exploit.

Unsere Empfehlung

• Alle WordPress-Websites auf Prime Mover – Backup and Migration prüfen.
• Auf Version 2.2.2 oder neuer aktualisieren.
• Falls das Plugin auf einer aus dem Internet erreichbaren Website lief, Kommentare und Administrator-Logs auf verdächtige Aktivitäten prüfen.
• Kommentare dort einschränken oder moderieren, wo sie nicht benötigt werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• WordPress.org plugin page (Prime Mover) wordpress.org
• Trac: PrimeMoverSearchReplace.php (2.2.1) plugins.trac.wordpress.org
• Trac: Freemius FS_Clone_Manager (2.2.1) plugins.trac.wordpress.org
• Trac: Freemius FS_Option_Manager (2.2.1) plugins.trac.wordpress.org
• VulDB CVE-2026-115806 vuldb.com
• OpenCVE CVE-2026-115806 (SSVC, EPSS) app.opencve.io
• Nuclei templates PR 17553 (detection) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:40.