CVE-2026-45440

Wtyczka WP Ultimate CSV Importer firmy Smackcoders Inc. zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 9.1.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nie używa sekretu specyficznego dla witryny przy wyznaczaniu lokalizacji logów importu zapisywanych w katalogu uploads, ani nie blokuje do nich bezpośredniego dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych użytkowników zaimportowanych z pliku CSV.

Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nieprawidłowo waliduje typy plików w przesyłanym archiwum ani nie sanityzuje ich zawartości przed zapisaniem w publicznie dostępnej lokalizacji. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting.

Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.

Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().