SEGURIDAD DE PLUGINS
Vulnerabilidades conocidas, compatibilidad con PHP y alternativas más seguras para el plugin de WordPress Duplicator — verificado contra la base de datos de seguridad local de WP Clinic.
duplicatorbackupcloud backupdatabase backupmigrationwordpress backup
12 CVEs conocidos registrados para Duplicator. Reportadas entre 2013 y 2024.
| CVE | Vulnerabilidad | Tipo | Gravedad | Afectadas | Corregido en | Publicado | Estado |
|---|---|---|---|---|---|---|---|
| CVE-2024-6210 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.5.10 | Exposición de información sensible a un actor no autorizado | Media 5,3 | < 1.5.10 | 1.5.10 | 2024-07-10 | ✓ corregido en la última versión |
| CVE-2023-51681 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.5.7.1 | Falsificación de petición en sitios cruzados (CSRF) | Media 6,5 | < 1.5.7.1 | 1.5.7.1 | 2023-12-27 | ✓ corregido en la última versión |
| CVE-2018-25095 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.3.0 | Control incorrecto de la generación de código (inyección de código) | Crítica 9,8 | < 1.3.0 | 1.3.0 | 2023-12-15 | ✓ corregido en la última versión |
| CVE-2023-6114 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.5.7.1 | Exposición de información sensible a un actor no autorizado | Alta 7,5 | < 1.5.7.1 | 1.5.7.1 | 2023-12-04 | ✓ corregido en la última versión |
| CVE-2022-2552 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.4.7.1 | Falta de autenticación en una función crítica | Media 5,3 | < 1.4.7.1 | 1.4.7.1 | 2022-07-27 | ✓ corregido en la última versión |
| CVE-2022-2551 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.4.7.1 | Solicitud directa (Forced Browsing / navegación forzada) | Alta 7,5 | < 1.4.7.1 | 1.4.7.1 | 2022-07-27 | ✓ corregido en la última versión |
| CVE-2020-11738 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.3.28 | Limitación incorrecta de una ruta a un directorio restringido (Path Traversal) | Alta 7,5 | < 1.3.28 | 1.3.28 | 2020-02-28 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.3.28 | — | Desconocido | < 1.3.28 | 1.3.28 | 2020-02-20 | ✓ corregido en la última versión |
The Duplicator plugin for WordPress is vulnerable to information exposure in all versions up to, and including, 1.5.9. This makes it possible for unauthenticated attackers to obtain the full path to instances, which they may be able to use in combination with other vulnerabilities or to simplify reconnaissance work. On its own, this information is of very limited use.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
Update the WordPress Duplicator plugin to the latest available version (at least 1.5.7.1). Rafie Muhammad (Patchstack) discovered and reported this Cross Site Request Forgery (CSRF) vulnerability in WordPress Duplicator Plugin. This could allow a malicious actor to force higher privileged users to execute unwanted actions under their current authentication. This vulnerability has been fixed in version 1.5.7.1. Have additional information or questions about this entry? Get in touch.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
The Duplicator – WordPress Migration & Backup Plugin plugin for WordPress is vulnerable to Remote Code Execution in all versions up to 1.3.0 (exclusive) via the/installer.php file. This is due to plugin not properly cleaning up the installer.php file upon completion of the script. This makes it possible for unauthenticated attackers to execute code on the server.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
The Duplicator WordPress plugin before 1.5.7.1, Duplicator Pro WordPress plugin before 4.5.14.2 does not disallow listing the `backups-dup-lite/tmp` directory (or the `backups-dup-pro/tmp` directory in the Pro version), which temporarily stores files containing sensitive data. When directory listing is enabled in the web server, this allows unauthenticated attackers to discover and access these sensitive files, which include a full database dump and a zip archive of the site.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
The Duplicator – WordPress Migration Plugin WordPress plugin is vulnerable to Unauthenticated System Information Disclosure in versions up to, and including, 1.4.7 via the 'view' or 'debug' parameter. This allows an unauthenticated attacker to obtain sensitive configuration information about the vulnerable system which includes details like PHP Version, Operating System, Full Path and more. This requires that the installer script has been run at least once by a site owner/administrator.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
The Duplicator WordPress Plugin is vulnerable to Unauthenticated Backup Download in versions up to, and including, 1.4.7 via the 'is_daws' parameter due to the fact that the source code of the response contains the randomized filename related to the back-up file that also exists in the same directory. This makes it possible for an unauthenticated attacker to download a full site backup which may contain sensitive information. This requires that the installer script has been run at least once by a site owner/administrator.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
The Duplicator (Free & Pro) plugin for WordPress is vulnerable to Directory Traversal in versions up to 1.3.28 (and Duplicator Pro before 3.8.7.1) via the 'file' parameter through the duplicator_download() or duplicator_init() function. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
Unauthenticated Arbitrary File Download vulnerability found in the WordPress Duplicator plugin (versions <= 1.3.26).
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
| CVE | Vulnerabilidad | Tipo | Gravedad | Afectadas | Corregido en | Publicado | Estado |
|---|---|---|---|---|---|---|---|
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.2.42 | — | Desconocido | < 1.2.42 | 1.2.42 | 2018-09-05 | ✓ corregido en la última versión |
| CVE-2018-17207 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.2.42 | Control incorrecto de la generación de código (inyección de código) | Crítica 9,8 | < 1.2.42 | 1.2.42 | 2018-08-29 | ✓ corregido en la última versión |
| CVE-2018-7543 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.2.33 | Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) | Media 6,1 | < 1.2.33 | 1.2.33 | 2018-03-15 | ✓ corregido en la última versión |
| CVE-2017-16815 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.2.30 | Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) | Media 6,1 | < 1.2.30 | 1.2.30 | 2017-11-07 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.1.4 | — | Desconocido | < 1.1.4 | 1.1.4 | 2016-02-11 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.1.4 | — | Desconocido | < 1.1.4 | 1.1.4 | 2016-02-09 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.5.28 | — | Desconocido | < 0.5.28 | 0.5.28 | 2015-11-22 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.5.28 | — | Desconocido | < 0.5.28 | 0.5.28 | 2015-08-15 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.5.15 | — | Desconocido | < 0.5.15 | 0.5.15 | 2015-04-13 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.5.16 | — | Desconocido | < 0.5.16 | 0.5.16 | 2015-04-10 | ✓ corregido en la última versión |
| CVE-2014-9262 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.5.10 | — | Alta 8,2 | < 0.5.10 | 0.5.10 | 2015-02-19 | ✓ corregido en la última versión |
| CVE-2013-4625 | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.4.5 | Neutralización incorrecta de la entrada al generar la página web (Cross-site Scripting / XSS) | Desconocido | < 0.4.5 | 0.4.5 | 2013-08-09 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.4.5 | — | Desconocido | < 0.4.5 | 0.4.5 | 2013-07-24 | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.2.42 | — | Desconocido | < 1.2.42 | 1.2.42 | — | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 1.1.4 | — | Desconocido | < 1.1.4 | 1.1.4 | — | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.5.28 | — | Desconocido | < 0.5.28 | 0.5.28 | — | ✓ corregido en la última versión |
| — | Duplicator – Backups & Migration Plugin – Cloud Backups, Scheduled Backups, & More [duplicator] < 0.5.16 | — | Desconocido | < 0.5.16 | 0.5.16 | — | ✓ corregido en la última versión |
Arbitrary Code Execution vulnerability found in WordPress Duplicator plugin (versions <= 1.2.40).
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
An issue was discovered in Snap Creek Duplicator before 1.2.42. By accessing leftover installer files (installer.php and installer-backup.php), an attacker can inject PHP code into wp-config.php during the database setup step, achieving arbitrary code execution.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
Cross-site scripting (XSS) vulnerability in installer/build/view.step4.php of the SnapCreek Duplicator plugin 1.2.32 for WordPress allows remote attackers to inject arbitrary JavaScript or HTML via the json parameter.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
installer.php in the Snap Creek Duplicator (WordPress Site Migration & Backup) plugin before 1.2.30 for WordPress has XSS because the values "url_new" (/wp-content/plugins/duplicator/installer/build/view.step4.php) and "logging" (wp-content/plugins/duplicator/installer/build/view.step2.php) are not filtered correctly.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
This plugin is prone to a cross site request forgery vulnerability. Update the plugin.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
The Duplicator plugin for WordPress is vulnerable to Cross-Site Request Forgery in versions up to, and including, 1.1.3. This is due to missing or incorrect nonce validation on the duplicator_package_build function. This makes it possible for unauthenticated attackers to create and download database and codebase backups via forged request granted they can trick an authenticated user into performing an action such as clicking on a link.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
This plugin is prone to a cross site scripting vulnerability via "logname" parameter. Update the plugin.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
The Duplicator plugin for WordPress is vulnerable to Cross-Site Scripting in versions up to, and including, 0.5.26 due to insufficient input sanitization and output escaping. This makes it possible for administrator-level attackers to inject arbitrary web scripts that execute in a victim's browser.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
Duplicator plugin is prone to an SQL injection and cross-site request forgery vulnerabilities that allow an attacker to get an authenticated admin by executing arbitrary SQL queries. Upgrade the plugin.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
The Duplicator plugin for WordPress is vulnerable to SQL Injection in versions up to and including 0.5.14 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Wordfence
The Duplicator – WordPress Migration Plugin WordPress plugin was affected by a Privilege Escalation security vulnerability.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: WPScan
Cross-site scripting (XSS) vulnerability in files/installer.cleanup.php in the Duplicator plugin before 0.4.5 for WordPress allows remote attackers to inject arbitrary web script or HTML via the package parameter.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: CVE.org
WordPress Duplicator plugin is prone to a cross-site scripting vulnerability. It fails to properly clean up user-supplied input. An attacker may execute arbitrary script code in the browser of an user in the context of the affected site. In this way the attacker can steal cookie-based authentication credentials. Other attacks are also possible. Update the plugin.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: Patchstack
If installer files, installer.php and installer-backup.php, are not removed by the administrators, a code injection during the database setup step allows to execute arbitrary code on the server.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: WPScan
The Duplicator – WordPress Migration Plugin WordPress plugin was affected by an Authenticated Cross-Site Scripting (XSS) security vulnerability.
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: WPScan
An authorised user with "export" permission or a remote unauthenticated attacker could use this vulnerability to execute arbitrary SQL queries on the victim WordPress web site by enticing an authenticated admin (CSRF).
Descripción técnica mostrada en el idioma original de la fuente (inglés).
Fuente: WPScan
Mantén Duplicator actualizado — 1.5.16.1 es la última versión en wordpress.org, y cada CVE de arriba indica la versión exacta que lo corrigió ("Corregido en").
Este es el historial completo de vulnerabilidades conocidas del plugin, no un escaneo de una instalación específica — ejecuta un escaneo gratis de tu propio sitio para verificar tu versión instalada exacta.
Ejecuta un escaneo pasivo gratis ahora, o crea una cuenta gratuita e instala el plugin de WP Clinic para un escaneo profundo de toda tu cuenta de hosting y reparación asistida por IA.