CVE-2026-103336
ŚrednieCVSS 5.3Streszczenie
Wtyczka WP Ultimate CSV Importer firmy Smackcoders Inc. zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 9.1.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych osadzonych w wysyłanych danych, co może prowadzić do naruszenia poufności informacji przechowywanych w WordPressie.
Rekomendacja
Zaleca się zaktualizowanie wtyczki WP Ultimate CSV Importer do najnowszej wersji zawierającej poprawkę. Należy również ograniczyć dostęp do funkcji importu CSV.
Inne podatności w WP Ultimate CSV Importer
Zobacz wszystkie- CVE-2026-80488Średnie
Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.
- CVE-2026-13353Wysokie
Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().
Oryginalny opis (angielski, źródło NVD)
Insertion of Sensitive Information Into Sent Data vulnerability in Smackcoders Inc. WP Ultimate CSV Importer wp-ultimate-csv-importer allows Retrieve Embedded Sensitive Data.This issue affects WP Ultimate CSV Importer: from n/a through 9.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS