CVE-2026-104757

Wtyczka Import and export users and customers w wersjach do 2.5.2 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać użytkownik z rolą Subscriber. Pozwala to na podniesienie uprawnień.

Wtyczka WordPress 'Import and export users and customers' przed wersją 2.4.2 nie egzekwuje przypisywania ról i uprawnień edycji użytkownika podczas importu CSV, co pozwala użytkownikowi posiadającemu jedynie uprawnienie do tworzenia użytkowników na utworzenie konta administratora oraz nadpisanie hasła lub adresu email istniejącego administratora.

Wtyczka Import and export users and customers dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez niestandardowe pola profilu użytkownika (Custom Column User Meta Profile Fields) we wszystkich wersjach do 2.4.5 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z niestandardowym poziomem dostępu lub wyższym może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.

Wtyczka Import and export users and customers dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.4.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wyodrębnić tytuł i surową treść dowolnych postów, niezależnie od ich statusu (szkic, prywatny, przyszły, kosz, chroniony hasłem) lub typu (w tym niepublicznych typów postów, takich jak zamówienia WooCommerce i wewnętrzne rekordy CRM), poprzez enumerację identyfikatorów postów. Wymagany nonce jest ujawniany jako wbudowany JavaScript na każdej stronie wp-admin, gdy do adresu URL dodano ?post_type=acui_email_template, co jest dostępne dla każdego uwierzytelnionego użytkownika, w tym subskrybentów.