CVE-2026-76554

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio weryfikuje adresów URL przed ich pobraniem podczas procesu importu, co pozwala użytkownikom z uprawnieniami importu (domyślnie administratorzy) powodować wysyłanie przez stronę żądań do wewnętrznych hostów i usług oraz odczytywać ich odpowiedzi. Jest to niepełna poprawka dla CVE-2026-11397.

Plugin WP Import Export Lite przed wersją 3.9.33 nie escapuje nazw pól niestandardowych pobranych z bazy danych przed wstawieniem ich do DOM jednego z ekranów administracyjnych, co pozwala użytkownikom z rolą co najmniej contributor na przeprowadzanie ataków Stored XSS, które wyzwalają się w przeglądarce użytkownika z wysokimi uprawnieniami, takiego jak administrator, przeglądającego ten ekran.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości konfiguracji importu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom, którym administrator nadał uprawnienia importu, przeprowadzać ataki SQL injection.

Plugin WP Import Export Lite przed wersją 3.9.33 nie odpowiednio oczyszcza i escapuje niektórych wartości filtrów eksportu przed użyciem ich w zapytaniach SQL, co pozwala użytkownikom posiadającym uprawnienia eksportu (domyślnie administratorzy, mogą być przyznane niższym rolom) przeprowadzać ataki SQL injection.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pliku podanej przez użytkownika przed jej odczytem i skopiowaniem do publicznie dostępnego katalogu. Umożliwia to użytkownikom z uprawnieniem importu ujawnienie wrażliwych plików z serwera, w tym plików spoza katalogu web root. Ten sam kod dodatkowo łagodzi uprawnienia systemu plików dla dowolnej podanej ścieżki, niezależnie od tego, czy kopiowanie się powiedzie.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje ścieżki pochodzącej z przechowywanych danych użytkownika przed rekurencyjnym usunięciem katalogu, na który wskazuje. Umożliwia to użytkownikom, którym administrator delegował odpowiednie uprawnienie, usunięcie dowolnych katalogów wraz ze wszystkimi plikami, w tym spoza katalogu web root.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie waliduje typu, rozszerzenia ani zawartości plików pobieranych z adresu URL podanego przez użytkownika podczas importu. Umożliwia to użytkownikom z uprawnieniem importu zapisanie dowolnych plików, w tym wykonywalnych, na serwerze i osiągnięcie zdalnego wykonania kodu.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.33 nie ogranicza, która funkcja PHP może być zastosowana do eksportowanych wartości pól. Umożliwia to użytkownikom z uprawnieniem eksportu wywołanie dowolnych funkcji na kontrolowanych przez nich wartościach, co prowadzi do zdalnego wykonania kodu.

Wtyczka WordPress WP Import Export Lite w wersji przed 3.9.34 nie waliduje ścieżki wyjściowej podanej przez użytkownika podczas zapisu plików eksportu. Umożliwia to użytkownikom z uprawnieniem eksportu zapisanie plików o dowolnych nazwach w dowolnych lokalizacjach na serwerze, co prowadzi do zdalnego wykonania kodu.

Wtyczka WP Import Export Lite dla WordPressa jest podatna na fałszowanie żądań po stronie serwera (SSRF) we wszystkich wersjach do 3.9.30 włącznie. Podatność występuje w akcji AJAX wpie_import_upload_file_from_url, gdzie po nieudanym wywołaniu wp_safe_remote_get() (które blokuje prywatne adresy IP) następuje wywołanie GuzzleHttp\Client::request() bez ochrony SSRF i z wyłączoną weryfikacją TLS. Umożliwia to uwierzytelnionym atakującym z uprawnieniami administratora wysyłanie żądań do dowolnych lokalizacji, w tym do wewnętrznych usług, takich jak endpoint metadanych chmury.