CVE-2026-104368 in Export and Import Users and Customers Plugin
الملخص
بحسب VulDB • 30/10/2026
يحتوي إضافة "Export and Import Users and Customers" لـ WordPress على ثغرة تصعيد صلاحيات (Privilege Escalation) في جميع الإصدارات حتى 2.7.5 وشاملاً إياها، وذلك عبر آلية التصدير وإعادة الاستيراد الخاصة بالإضافة نفسها. توجد الثغرة بسبب عدم تطابق حرف الهروب المستخدم في ملفات CSV بين مُصدّر البيانات ومُستوردها: حيث تكتب `class-csvwriter.php` الخلايا باستخدام دالة `fputcsv()` مع اعتماد حرف الهروب الخلفي (backslash `\`) الافتراضي في PHP، بينما تقوم `class-csvreader.php` بتحليل الملف نفسه باستخدام دالة `fgetcsv()` ومعتمدةً على علامة التنصيص المزدوجة (`"`) كحرف هرب. ونتيجة لذلك، يتم كتابة قيمة مُعدّة بشكل متعمد (crafted) مخزنة في حقل "المعلومات السيرة الذاتية" (Biographical Info) للمستخدم من فئة المشتركين (Subscriber)، والتي تحتوي على تسلسل يتألف من علامة backslash تليها علامة تنصيص مزدوجة ثم سطر جديد، كحقل CSV واحد محاط بعلامات اقتباس، ولكن عند الاستيراد يتم تحليله مرة أخرى على أنه صفّان منفصلان. تتم معالجة الصف المُحقن الثاني لاحقاً بواسطة الدالة `hf_create_customer()` كسجل مستخدم جديد تكون فيه قيم حقول `user_login` و `user_pass` و `user_email` و `role` خاضعة بالكامل لسيطرة المهاجم، مما يتيح إنشاء حساب مدير (Administrator) بشكل تعسفي. وهذا يمكّن المهاجمين المصادق عليهم والذين يمتلكون وصولاً من فئة المشتركين (Subscriber) فأعلى، من تصعيد صلاحياتهم إلى مستوى المدير (Administrator).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.