Bezpečnost webu

Duplicator – nedostatečná kontrola oprávnění při One-Click Upgrade

Závažnost

Vysoká 🟠

Dotčený produkt

Duplicator, postižená verze 1.5.17 a další starší verze dotčené chybou; opraveno ve verzi 5.0.0.

Datum zveřejnění

23/10/2026

CVE označení

CVE-2026-115251

Hodnocení CVSS:

CVSS (Common Vulnerability Scoring System) je celosvětový standard pro měření a kvantifikaci závažnosti softwarových zranitelností. Poskytuje číselné skóre od 0 do 10, které bezpečnostním týmům pomáhá určit, jaké bezpečnostní chyby řešit přednostně

7,2/10

CVSS

WPScan potvrdil nedostatečnou kontrolu oprávnění při aktualizaci pluginu Duplicator.

Administrátor podřízeného webu v síti WordPress Multisite, který nemá oprávnění správce celé sítě, může zneužít aktualizační mechanismus ke spuštění libovolného PHP kódu ve sdíleném adresáři pluginu.

Důsledkem může být kompromitace celé Multisite instalace, nikoliv pouze podřízeného webu.

Zranitelnost je relevantní zejména pro Multisite s oddělenými administrátory jednotlivých webů. Veřejný PoC zatím nebyl zveřejněn. Plugin Vulnerabilities

Doporučené kroky

Doporučujeme aktualizovat Duplicator minimálně na verzi 5.0.0.
U Multisite instalací, které provozovaly postižené verze, je vhodné prověřit administrátory podřízených webů.
Doporučujeme zkontrolovat integritu sdíleného adresáře pluginů a historii aktualizačních operací.
Pokud aktualizace není možná, je vhodné omezit přístup k dotčenému mechanismu nebo plugin dočasně deaktivovat.

Zdroj: https://wpscan.com/vulnerability/c4512e96-6d96-474e-90c0-ad784eb1c145/

Autor a odborná kontrola: Aleš Zita, webový vývojář – Allimedia.cz

Duplicator – nedostatečná kontrola oprávnění při One-Click Upgrade

Hodnocení CVSS:

Doporučené kroky

Máte web ve správě od Allimedia?

Nemáte web ve správě od Allimedia?