CVE-2026-92540
NieznaneStreszczenie
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje prawidłowo uprawnienia promote_users przy przypisywaniu ról podczas importu CSV. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users tworzenie nowych kont administratorów lub awansowanie istniejących użytkowników do administratora.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może utworzyć konta administratorów lub awansować istniejące konta, co prowadzi do pełnego przejęcia kontroli nad witryną. Stanowi to poważne zagrożenie dla bezpieczeństwa instalacji WordPress.
Rekomendacja
Zaktualizować wtyczkę Import and export users and customers do wersji 2.5.2 lub nowszej. Zaleca się również audyt kont użytkowników pod kątem nieautoryzowanych zmian ról.
Inne podatności w Import and export users and customers WordPress plugin
Zobacz wszystkie- CVE-2026-92541Nieznane
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje uprawnienia promote_users w funkcji importu po stronie frontendu. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users zmianę roli istniejących użytkowników, w tym awansowanie ich do administratora.
- CVE-2026-16542Nieznane
Wtyczka WordPress Import and export users and customers przed wersją 2.4.5 nie waliduje adresu URL dostarczonego przez użytkownika przed wykonaniem żądania po stronie serwera podczas importu CSV. Pozwala to użytkownikom o wysokich uprawnieniach przeprowadzać ataki typu Server-Side Request Forgery.
- CVE-2025-15673Średnie
Wtyczka Import and export users and customers WordPress przed wersją 2.4.3 nie ogranicza ścieżki pliku, który jest odczytywany i wyświetlany podczas importu CSV. Umożliwia to użytkownikom z wysokimi uprawnieniami odczyt dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
The Import and export users and customers WordPress plugin before 2.5.2 does not correctly enforce the promote_users capability when assigning roles during a CSV import, allowing users with only the create_users capability to create new administrator accounts or promote existing users to administrator.