CVE-2026-16542
NieznaneStreszczenie
Wtyczka WordPress Import and export users and customers przed wersją 2.4.5 nie waliduje adresu URL dostarczonego przez użytkownika przed wykonaniem żądania po stronie serwera podczas importu CSV. Pozwala to użytkownikom o wysokich uprawnieniach przeprowadzać ataki typu Server-Side Request Forgery.
Ocena ryzyka
Atak SSRF może umożliwić dostęp do zasobów wewnętrznych sieci lub usług, do których nie powinien mieć dostępu użytkownik zewnętrzny.
Rekomendacja
Zaktualizuj wtyczkę Import and export users and customers do wersji 2.4.5 lub nowszej.
Inne podatności w Import and export users and customers WordPress plugin
Zobacz wszystkie- CVE-2026-92541Nieznane
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje uprawnienia promote_users w funkcji importu po stronie frontendu. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users zmianę roli istniejących użytkowników, w tym awansowanie ich do administratora.
- CVE-2026-92540Nieznane
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje prawidłowo uprawnienia promote_users przy przypisywaniu ról podczas importu CSV. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users tworzenie nowych kont administratorów lub awansowanie istniejących użytkowników do administratora.
- CVE-2025-15673Średnie
Wtyczka Import and export users and customers WordPress przed wersją 2.4.3 nie ogranicza ścieżki pliku, który jest odczytywany i wyświetlany podczas importu CSV. Umożliwia to użytkownikom z wysokimi uprawnieniami odczyt dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
The Import and export users and customers WordPress plugin before 2.4.5 does not validate a user-supplied URL before requesting it server-side during a CSV import, allowing high-privileged users to perform Server-Side Request Forgery attacks.