CVE-2026-86583 in Import and export users and customers Plugin
Zusammenfassung
von VulDB • 24.09.2026
Das WordPress-Plugin „Import and Export Users and Customers“ ist in allen Versionen bis einschließlich 2.4.17 anfällig für Privilege Escalation über den eigenen Export- und Reimport-Arbeitsablauf des Plugins. Die Schwachstelle besteht, da der Exporter CSV-Zellen mit fputcsv() unter Verwendung eines NUL-Bytes (\0) als Escapezeichen schreibt, während der Importeur dieselbe Datei mit SplFileObject::fgetcsv() analysiert, wobei nur ein einzelnes Delimiter-Argument angegeben wird; dies führt dazu, dass das Standard-Escapezeichen des Backslashes von PHP angewendet wird. Da die Spaltenanordnung beim Export display_name unmittelbar vor der role-Spalte und nickname unmittelbar danach platziert, kann ein Angestellter in diesen beiden Profilfeldern (die über die standardmäßige Profilseite vom WordPress-Core gespeichert werden) manipulierte Werte speichern, sodass das Missverhältnis bei den Escape-Zeichen dazu führt, dass der Parser die display_name-Zelle mit dem role-Feld zusammenführt und die Spaltenanzahl über nickname ausgleicht. Dies ergibt „administrator“ als analysierte Rolle für die eigene Zeile, wenn sie die add_role-Funktion in import_user erreicht. Dadurch ist es authentifizierten Angreifern mit Subscriber-Rechten oder höher möglich, ihre Berechtigungen auf Administrator zu eskalieren. Die Ausnutzung erfordert, dass ein Website-Administrator den dokumentierten Export und Reimport-Migrationsprozess des Plugins auslöst, wobei sowohl „Update existing users“ als auch „Update roles for existing users“ auf „yes“ (Ja) eingestellt sind.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.