В Duplicator нашли PHP-инъекцию CVE-2026-82814 с отложенным срабатыванием

Wordfence обнаружила в WordPress-плагине Duplicator и Duplicator Pro уязвимость CVE-2026-82814 с оценкой 8.8: злоумышленник без аутентификации кладёт base64-PHP-объект в комментарий, и он активируется при миграции сайта администратором. В бесплатной версии это приводит к выполнению команд ОС, в Pro — к удалению произвольных файлов, включая wp-config.php. Исправлено в версии 5.0.0.

• CVE-2026-82814: PHP object injection с оценкой 8.8 по CVSSv3
• Payload хранится в комментарии и срабатывает при миграции через DUPX_UpdateEngine
• Free — RCE, Pro — удаление файлов и повторная установка WordPress
• Уязвимы Duplicator до 1.5.17 и Pro до 4.6.10, патч в 5.0.0