CVE-2026-120554
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Wtyczka Import and export users and customers dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 2.5.11 włącznie. Wynika to z nieatomowej sekwencji zapisu wielu opcji w funkcji `ACUI_Cron::save_settings()`, która zapisuje pewne opcje przed sprawdzeniem autoryzacji, umożliwiając uwierzytelnionemu atakującemu z niestandardową rolą delegowaną posiadającą `create_users` (ale bez `promote_users` lub `edit_users`) eskalację uprawnień do Administratora, pod warunkiem istnienia wcześniejszego zapisu cron przez administratora i braku udanego zapisu przed następnym zadaniem cron.
Ocena ryzyka
Atakujący może podnieść swoje uprawnienia do poziomu administratora, co prowadzi do pełnej kontroli nad witryną WordPress i potencjalnego naruszenia danych.
Rekomendacja
Należy zaktualizować wtyczkę do wersji nowszej niż 2.5.11, jeśli jest dostępna, lub ograniczyć role delegowane i monitorować nietypowe zmiany uprawnień.
Inne podatności w Import and export users and customers WordPress plugin
Zobacz wszystkie- CVE-2026-92541Wysokie
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje uprawnienia promote_users w funkcji importu po stronie frontendu. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users zmianę roli istniejących użytkowników, w tym awansowanie ich do administratora.
- CVE-2026-92540Wysokie
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje prawidłowo uprawnienia promote_users przy przypisywaniu ról podczas importu CSV. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users tworzenie nowych kont administratorów lub awansowanie istniejących użytkowników do administratora.
- CVE-2026-16542Średnie
Wtyczka WordPress Import and export users and customers przed wersją 2.4.5 nie waliduje adresu URL dostarczonego przez użytkownika przed wykonaniem żądania po stronie serwera podczas importu CSV. Pozwala to użytkownikom o wysokich uprawnieniach przeprowadzać ataki typu Server-Side Request Forgery.
- CVE-2025-15673Średnie
Wtyczka Import and export users and customers WordPress przed wersją 2.4.3 nie ogranicza ścieżki pliku, który jest odczytywany i wyświetlany podczas importu CSV. Umożliwia to użytkownikom z wysokimi uprawnieniami odczyt dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
The Import and export users and customers plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 2.5.11 This is due to a non-atomic multi-option write sequence in the `ACUI_Cron::save_settings()` function, which persists `acui_cron_activated`, `acui_cron_configured_by`, `acui_cron_user_id`, and `acui_cron_path_to_file` before reaching the authorization gate that calls `wp_die()` when a non-promoter submits a role. This makes it possible for authenticated attackers holding a custom delegated role with `create_users` but without `promote_users` or `edit_users` to escalate their privileges to Administrator, provided a prior administrator cron-tab save exists and no successful save intervenes before the next unattended cron tick processes the attacker's repointed CSV file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS