CVE-2026-16534
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress 'Import and export users and customers' przed wersją 2.4.2 nie egzekwuje przypisywania ról i uprawnień edycji użytkownika podczas importu CSV, co pozwala użytkownikowi posiadającemu jedynie uprawnienie do tworzenia użytkowników na utworzenie konta administratora oraz nadpisanie hasła lub adresu email istniejącego administratora.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad witryną WordPress, tworząc konto administratora lub modyfikując dane istniejącego administratora.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.4.2 lub nowszej, która wymusza odpowiednie sprawdzanie uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Import and export users and customers WordPress plugin before 2.4.2 does not enforce WordPress's role-assignment and per-user edit permissions during CSV import, allowing a user holding only the user-creation capability to create an administrator account and to overwrite an existing administrator's password or email.