CVE-2026-17001

Wtyczka Import and export users and customers w wersjach do 2.5.2 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać użytkownik z rolą Subscriber. Pozwala to na podniesienie uprawnień.

Wtyczka WordPress 'Import and export users and customers' przed wersją 2.4.2 nie egzekwuje przypisywania ról i uprawnień edycji użytkownika podczas importu CSV, co pozwala użytkownikowi posiadającemu jedynie uprawnienie do tworzenia użytkowników na utworzenie konta administratora oraz nadpisanie hasła lub adresu email istniejącego administratora.

Podatność Editor Privilege Escalation w Import and export users and customers do wersji 2.5.5 pozwala użytkownikowi z rolą edytora na podniesienie swoich uprawnień.

Wtyczka Import and export users and customers dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.4.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wyodrębnić tytuł i surową treść dowolnych postów, niezależnie od ich statusu (szkic, prywatny, przyszły, kosz, chroniony hasłem) lub typu (w tym niepublicznych typów postów, takich jak zamówienia WooCommerce i wewnętrzne rekordy CRM), poprzez enumerację identyfikatorów postów. Wymagany nonce jest ujawniany jako wbudowany JavaScript na każdej stronie wp-admin, gdy do adresu URL dodano ?post_type=acui_email_template, co jest dostępne dla każdego uwierzytelnionego użytkownika, w tym subskrybentów.