CVE-2026-94178
WysokieCVSS 7.5Streszczenie
Wtyczka Import and export users and customers w wersjach do 2.5.2 włącznie zawiera podatność typu Privilege Escalation, którą może wykorzystać użytkownik z rolą Subscriber. Pozwala to na podniesienie uprawnień.
Ocena ryzyka
Atakujący z niskimi uprawnieniami (Subscriber) może podnieść swoje uprawnienia, uzyskując dostęp do funkcji administracyjnych i potencjalnie przejmując kontrolę nad witryną.
Rekomendacja
Zaktualizuj wtyczkę Import and export users and customers do wersji nowszej niż 2.5.2.
Inne podatności w Import and export users and customers
Zobacz wszystkie- CVE-2026-16534Krytyczne
Wtyczka WordPress 'Import and export users and customers' przed wersją 2.4.2 nie egzekwuje przypisywania ról i uprawnień edycji użytkownika podczas importu CSV, co pozwala użytkownikowi posiadającemu jedynie uprawnienie do tworzenia użytkowników na utworzenie konta administratora oraz nadpisanie hasła lub adresu email istniejącego administratora.
- CVE-2026-15026Średnie
Wtyczka Import and export users and customers dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 2.4.0 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą wyodrębnić tytuł i surową treść dowolnych postów, niezależnie od ich statusu (szkic, prywatny, przyszły, kosz, chroniony hasłem) lub typu (w tym niepublicznych typów postów, takich jak zamówienia WooCommerce i wewnętrzne rekordy CRM), poprzez enumerację identyfikatorów postów. Wymagany nonce jest ujawniany jako wbudowany JavaScript na każdej stronie wp-admin, gdy do adresu URL dodano ?post_type=acui_email_template, co jest dostępne dla każdego uwierzytelnionego użytkownika, w tym subskrybentów.
Oryginalny opis (angielski, źródło NVD)
Subscriber Privilege Escalation in Import and export users and customers <= 2.5.2 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS