CVE-2026-92541
NieznaneStreszczenie
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje uprawnienia promote_users w funkcji importu po stronie frontendu. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users zmianę roli istniejących użytkowników, w tym awansowanie ich do administratora.
Ocena ryzyka
Użytkownik z niskimi uprawnieniami może eskalować uprawnienia innych kont, w tym tworzyć administratorów, co prowadzi do pełnego przejęcia kontroli nad witryną. Stanowi to poważne zagrożenie dla bezpieczeństwa instalacji WordPress.
Rekomendacja
Zaktualizować wtyczkę Import and export users and customers do wersji 2.5.2 lub nowszej. Zaleca się również audyt kont użytkowników pod kątem nieautoryzowanych zmian ról.
Inne podatności w Import and export users and customers WordPress plugin
Zobacz wszystkie- CVE-2026-92540Nieznane
Wtyczka Import and export users and customers dla WordPressa w wersji przed 2.5.2 nie egzekwuje prawidłowo uprawnienia promote_users przy przypisywaniu ról podczas importu CSV. Umożliwia to użytkownikom posiadającym jedynie uprawnienie create_users tworzenie nowych kont administratorów lub awansowanie istniejących użytkowników do administratora.
- CVE-2026-16542Nieznane
Wtyczka WordPress Import and export users and customers przed wersją 2.4.5 nie waliduje adresu URL dostarczonego przez użytkownika przed wykonaniem żądania po stronie serwera podczas importu CSV. Pozwala to użytkownikom o wysokich uprawnieniach przeprowadzać ataki typu Server-Side Request Forgery.
- CVE-2025-15673Średnie
Wtyczka Import and export users and customers WordPress przed wersją 2.4.3 nie ogranicza ścieżki pliku, który jest odczytywany i wyświetlany podczas importu CSV. Umożliwia to użytkownikom z wysokimi uprawnieniami odczyt dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
The Import and export users and customers WordPress plugin before 2.5.2 does not enforce the promote_users capability in its front-end import functionality, allowing users with only the create_users capability to change the role of existing users, including promoting them to administrator.