CVE-2026-80488
ŚrednieCVSS 4.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.
Ocena ryzyka
Ataki SQL injection mogą prowadzić do pełnej kompromitacji bazy danych, w tym kradzieży danych, modyfikacji lub usunięcia danych, a także przejęcia kontroli nad witryną.
Rekomendacja
Zaleca się aktualizację wtyczki WP Ultimate CSV Importer do wersji 9.0 lub nowszej, która zawiera poprawki sanityzacji i escapowania danych.
Inne podatności w WP Ultimate CSV Importer
Zobacz wszystkie- CVE-2026-103336Średnie
Wtyczka WP Ultimate CSV Importer firmy Smackcoders Inc. zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 9.1.
- CVE-2026-45440Wysokie
Podatność na wstrzyknięcie SQL (SQL Injection) w wtyczce WP Ultimate CSV Importer w wersjach do 9.2, wymagająca uprawnień administratora.
- CVE-2026-80518Niskie
Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nie używa sekretu specyficznego dla witryny przy wyznaczaniu lokalizacji logów importu zapisywanych w katalogu uploads, ani nie blokuje do nich bezpośredniego dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych użytkowników zaimportowanych z pliku CSV.
- CVE-2026-80517Niskie
Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nieprawidłowo waliduje typy plików w przesyłanym archiwum ani nie sanityzuje ich zawartości przed zapisaniem w publicznie dostępnej lokalizacji. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting.
- CVE-2026-13353Wysokie
Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().
Oryginalny opis (angielski, źródło NVD)
The WP Ultimate CSV Importer WordPress plugin before 9.0 does not properly sanitise and escape imported field values before using them in a SQL statement, which could allow high privilege users such as admin to perform SQL injection attacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS