FICHE CVE

CVE-2022-2551

Publiée le 2022-08-22 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les sites WordPress utilisant la version 1.4.6 ou antérieure de l'extension Duplicator sont susceptibles de subir une fuite de données si le script d'installation a été exécuté précédemment. Un attaquant distant non authentifié peut simplement consulter le point de terminaison de l'installateur pour découvrir l'URL de sauvegarde et télécharger une copie complète des fichiers et de la base de données du site. Cela ne nécessite aucun privilège spécial ni interaction de l'utilisateur, ce qui rend l'exécution triviale via un navigateur web standard.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

CWE-425

Publiée2022-08-22

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéAucun

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

The Duplicator WordPress plugin before 1.4.7 discloses the url of the a backup to unauthenticated visitors accessing the main installer endpoint of the plugin, if the installer script has been run once by an administrator, allowing download of the full site backup without authenticating.