CVE-2026-80488

ŚrednieCVSS 4.1

Opublikowano: 29/08/2026(UTC)Zaktualizowano: 30/08/2026(UTC)Przetłumaczono: 29/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.

Ocena ryzyka

Ataki SQL injection mogą prowadzić do pełnej kompromitacji bazy danych, w tym kradzieży danych, modyfikacji lub usunięcia danych, a także przejęcia kontroli nad witryną.

Rekomendacja

Zaleca się aktualizację wtyczki WP Ultimate CSV Importer do wersji 9.0 lub nowszej, która zawiera poprawki sanityzacji i escapowania danych.

Inne podatności w WP Ultimate CSV Importer

CVE-2026-13353Wysokie
Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().

Oryginalny opis (angielski, źródło NVD)

The WP Ultimate CSV Importer WordPress plugin before 9.0 does not properly sanitise and escape imported field values before using them in a SQL statement, which could allow high privilege users such as admin to perform SQL injection attacks.