Podatności Import WP
3 znanych podatności CVE w Import WP, przetłumaczonych i ocenionych.
- CVE-2026-14925Wysokie
Wtyczka WordPress Import WP przed wersją 2.14.23 nie przeprowadza żadnej kontroli autoryzacji w jednym z handlerów pobierania plików eksportu. Niezalogowani atakujący mogą pobierać pliki eksportu wygenerowane przez administratorów, które mogą zawierać dane osobowe użytkowników, takie jak adresy e-mail, nazwy logowania i role. Wykorzystanie wymaga istnienia niewykorzystanego eksportu i uzyskania klucza pobierania opartego na czasie o niskiej entropii.
- CVE-2025-12894Średnie
Wtyczka Import WP – Export and Import CSV and XML files do WordPressa do wersji 2.14.17 jest podatna na ujawnienie wrażliwych informacji z powodu braku ochrony .htaccess. Nieuwierzytelnieni atakujący mogą wyodrębnić dane z eksportów przechowywanych w /exportwp oraz importować dane z /importwp.
- CVE-2025-12137Średnie
Wtyczka Import WP dla WordPressa w wersjach do 2.14.16 włącznie jest podatna na odczyt dowolnych plików. Punkt końcowy REST API akceptuje dowolne bezwzględne ścieżki plików bez walidacji w funkcji attach_file() przy obsłudze akcji file_local, co pozwala uwierzytelnionym atakującym z uprawnieniami administratora na odczyt plików serwera.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS