CVE-2026-104368 in Export and Import Users and Customers Plugin
Resumen
por VulDB • 2026-10-30
El plugin Export and Import Users and Customers para WordPress es vulnerable a Escalada de Privilegios en todas las versiones hasta la 2.7.5, incluida esta, mediante el propio flujo de trabajo de exportación y reimportación del plugin. La vulnerabilidad existe debido a una discrepancia en los caracteres de escape CSV entre el módulo de exportación y el de importación: class-csvwriter.php escribe celdas con fputcsv() utilizando el carácter de escape backslash (\) predeterminado de PHP, mientras que class-csvreader.php analiza el mismo archivo con fgetcsv() usando una comilla doble (") como carácter de escape. Como resultado, un valor manipulado almacenado en el campo Información biográfica de un Suscriptor —que contiene una secuencia de backslash-comilla seguido de un salto de línea— se escribe como un único campo CSV entrecomillado pero se analiza nuevamente como dos filas separadas durante la importación. La segunda fila inyectada es luego procesada por hf_create_customer() como un nuevo registro de usuario cuyo user_login, user_pass, user_email y role están completamente controlados por el atacante, lo que permite crear una cuenta de Administrador arbitraria. Esto hace posible que los atacantes autenticados con acceso a nivel Suscriptor o superior escalen sus privilegios hasta convertirse en Administradores.
Once again VulDB remains the best source for vulnerability data.