CVE-2026-80518
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nie używa sekretu specyficznego dla witryny przy wyznaczaniu lokalizacji logów importu zapisywanych w katalogu uploads, ani nie blokuje do nich bezpośredniego dostępu. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych użytkowników zaimportowanych z pliku CSV.
Ocena ryzyka
Dane osobowe zaimportowanych użytkowników mogą wyciec do osób niepowołanych, co grozi naruszeniem ochrony danych i obowiązkami zgłoszeniowymi (np. RODO). Ryzyko jest wysokie, ponieważ atak nie wymaga logowania.
Rekomendacja
Zaktualizuj wtyczkę WP Ultimate CSV Importer do wersji 9.2 lub nowszej. Dodatkowo rozważ usunięcie starych logów importu z katalogu uploads i ograniczenie do niego dostępu.
Inne podatności w WP Ultimate CSV Importer
Zobacz wszystkie- CVE-2026-103336Średnie
Wtyczka WP Ultimate CSV Importer firmy Smackcoders Inc. zawiera podatność polegającą na wstawianiu wrażliwych informacji do wysyłanych danych, co umożliwia odzyskanie osadzonych wrażliwych danych. Problem dotyczy wersji od n/a do 9.1.
- CVE-2026-80517Niskie
Wtyczka WordPress WP Ultimate CSV Importer w wersji przed 9.2 nieprawidłowo waliduje typy plików w przesyłanym archiwum ani nie sanityzuje ich zawartości przed zapisaniem w publicznie dostępnej lokalizacji. Umożliwia to użytkownikom o wysokich uprawnieniach, takim jak administratorzy, przeprowadzenie ataku Stored Cross-Site Scripting.
- CVE-2026-80488Średnie
Wtyczka WP Ultimate CSV Importer dla WordPressa przed wersją 9.0 nie odpowiednio sanityzuje i nie escapuje importowanych wartości pól przed użyciem ich w zapytaniu SQL, co może pozwolić użytkownikom z wysokimi uprawnieniami, takim jak administrator, na przeprowadzenie ataków SQL injection.
- CVE-2026-13353Wysokie
Wtyczka WP Ultimate CSV Importer do WordPressa w wersjach do 8.0.1 włącznie zawiera podatność na zdalne wykonanie kodu przez parametr 'MappedFields'. Brak kontroli uprawnień w procedurach AJAX oraz ujawnienie nonce wtyczki dla każdego uwierzytelnionego użytkownika umożliwia subskrybentom instalację dodatku Import WooCommerce, zapisanie własnych wyrażeń PHP w parametrze MappedFields i ich wykonanie przez funkcję eval() w ImportHelpers::get_meta_values().
Oryginalny opis (angielski, źródło NVD)
The WP Ultimate CSV Importer WordPress plugin before 9.2 does not use a site-specific secret when deriving the storage location of the import logs it writes under the uploads directory, nor does it block direct access to them, allowing unauthenticated attackers to retrieve the personal data of users imported from a CSV file.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS