CVE-2026-1317 in WP Import Plugin
Résumé
par VulDB • 06/08/2026
Le plugin WordPress WP Import – Ultimate CSV XML Importer for WordPress est vulnérable à une injection SQL dans toutes les versions jusqu'à la 7.37 incluse. Cela est dû à un échappement insuffisant du paramètre `file_name`, qui est stocké en base de données lors du téléchargement d'un fichier, puis utilisé dans des requêtes SQL brutes sans sanitisation appropriée. Il devient ainsi possible pour des attaquants authentifiés disposant d’un accès au niveau « Abonné » (Subscriber) ou supérieur d’ajouter des requêtes SQL supplémentaires à des requêtes existantes via un nom de fichier malveillant, ce qui peut être utilisé pour extraire des informations sensibles depuis la base de données. L'exploitation de cette vulnérabilité n'est possible que lorsque l'option 'Single Import/Export' est activée et que le serveur exécute une version PHP < 8.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.