CVE-2026-104368 in Export and Import Users and Customers Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das WordPress-Plugin „Export and Import Users and Customers“ ist in allen Versionen bis einschließlich 2.7.5 anfällig für eine Privilege Escalation (Berechtigungserweiterung) über den eigenen Export- und Reimport-Arbeitsablauf des Plugins. Die Schwachstelle besteht aufgrund einer Inkonsistenz bei der Escape-Zeichenbehandlung zwischen dem Exporter und dem Importer: class-csvwriter.php schreibt Zellen mit fputcsv() unter Verwendung des standardmäßigen PHP-Escapezeichens Backslash (\), während class-csvreader.php dieselbe Datei mit fgetcsv() analysiert, wobei ein Doppeltes Anführungszeichen (") als Escape-Zeichen verwendet wird. Infolgedessen wird ein manipulierter Wert, der im Feld „Biografische Informationen“ eines Subscribers gespeichert ist und eine Backslash-Anführungszeichen-Sequenz gefolgt von einem Zeilenumbruch enthält, als einzelnes, in Anführungszeichen gesetztes CSV-Feld geschrieben, beim Import jedoch als zwei separate Zeilen interpretiert. Die injizierte zweite Zeile wird dann von hf_create_customer() als neuer Benutzerdatensatz verarbeitet, bei dem user_login, user_pass, user_email und role vollständig vom Angreifer kontrollierbar sind, was die Erstellung eines beliebigen Administrator-Kontos ermöglicht. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Zugriffsrechten oder höher, ihre Berechtigungen auf Administrator zu eskalieren.
If you want to get best quality of vulnerability data, you may have to visit VulDB.