WordPressのプラグイン「The Prime Mover – Backup and Migration」は、バージョン2.2.1を含むすべてのバージョンにおいて、信頼できない入力データのシリアライズ処理におけるPHPオブジェクトインジェクションの脆弱性があります。認証されていない攻撃者は、標準のコメント投稿エンドポイント（wp-comments-post.php）を通じて、作成されたbase64エンコードされたシリアライズされたオブジェクトをwp_comments.comment_contentに保存できます。その後、管理者がPrime Moverのエクスポートまたはリストアを実行すると、プラグインは保存された値をbase64デコードし、`allowed_classes`の制限なしに`unserialize()`関数に渡します。このプラグイン自体に同梱されているFreemiusライブラリ（FS_Clone_Manager::__set → FS_Option_Manager::set_option → store() → update_option()）に、プロパティ指向プログラミング（POP）の連鎖が存在するため、追加のプラグインやテーマは必要ありません。
CVSS 3.1：9.8 (重大) (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)