Duplicator: Unauthentifizierte PHP Object Injection über gespeicherte Inhalte
Zusammenfassung
Duplicator Free bis 1.5.17 und Duplicator Pro bis 4.6.10 deserialisieren nicht vertrauenswürdige Datenbankinhalte während der Migration, was PHP Object Injection ermöglicht. Ein nicht angemeldeter Angreifer kann ein serialisiertes Objekt in öffentlichen Website-Inhalten speichern, beispielsweise in einem Kommentar. Wenn ein Administrator später ein Paket erstellt und eine Migration oder einen Import ausführt, kann die Nutzlast in der Free-Edition zur Ausführung von Betriebssystembefehlen führen, in Pro zur Löschung vom Angreifer gewählter Dateien wie wp-config.php, was eine Übernahme der Website zur Folge haben kann.
Betroffen
- Duplicator Free: alle Versionen bis und mit 1.5.17
- Duplicator Pro: alle Versionen bis und mit 4.6.10
Behoben in
- Duplicator Free und Pro: 5.0.0 und neuer
Umgehung
- Es ist kein Workaround dokumentiert.
- Ein Update behebt bereits bestehende Archive nicht.
Ausnutzung
- Es ist keine Ausnutzung in freier Wildbahn bekannt.
- CISA SSVC: Exploitation none, nicht automatisierbar.
- Kein öffentlicher Proof of Concept gefunden (VulDB).
Unsere Empfehlung
- Alle Installationen von Duplicator Free und Pro erfassen und die Versionen prüfen.
- Alle Installationen unter 5.0.0 auf 5.0.0 oder neuer aktualisieren.
- Vor dem Update erstellte Backup-Archive ersetzen und nicht für Wiederherstellungen oder Migrationen verwenden.
- Migrations- und Importaktivitäten von Administratoren prüfen und auf unerwartete Dateilöschungen oder -änderungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Duplicator Changelog (v5.0.0) duplicator.com
- Wordfence threat intelligence entry www.wordfence.com
- Wordfence Argus write-up (reproduced) malware.news
- Second-order flaw write-up dev.to
- Migration analysis (Adyog) pulse.adyog.com
- VulDB entry vuldb.com
- CVE description (ThreatInt) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.