CVE-2026-80517
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nieprawidłowo waliduje typy plików w przesyłanym archiwum ani nie sanityzuje ich zawartości przed zapisaniem w publicznie dostępnej lokalizacji. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting.
Ocena ryzyka
W instalacjach Multisite administrator witryny nie posiada uprawnienia unfiltered_html, więc może wykonywać skrypty w sesji użytkowników przeglądających plik, w tym Network Super Adminów. Może to prowadzić do przejęcia kont o wysokich uprawnieniach.
Rekomendacja
Zaktualizuj wtyczkę WP Ultimate CSV Importer do wersji 9.2 lub nowszej. Sprawdź i usuń podejrzane pliki zapisane w katalogu uploads.
Inne podatności w WP Ultimate CSV Importer
Zobacz wszystkie- CVE-2026-103336Średnie
Wtyczka WP Ultimate CSV Importer firmy Smackcoders Inc. zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 9.1.
- CVE-2026-80518Niskie
Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nie używa sekretu specyficznego dla witryny przy wyznaczaniu lokalizacji logów importu zapisywanych w katalogu uploads, ani nie blokuje do nich bezpośredniego dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych użytkowników zaimportowanych z pliku CSV.
- CVE-2026-80488Średnie
Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.
- CVE-2026-13353Wysokie
Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().
Oryginalny opis (angielski, źródło NVD)
The WP Ultimate CSV Importer WordPress plugin before 9.2 does not properly validate the file types contained in an uploaded archive nor sanitise their content before storing them in a publicly served location, allowing high privilege users such as administrators to achieve Stored Cross-Site Scripting. On Multisite installations a site Administrator does not hold the unfiltered_html capability, so this lets them run scripts in the session of users who view the file, including Network Super Admins.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS