CVE-2026-104368 in Export and Import Users and Customers Plugin
Riassunto
di VulDB • 30/10/2026
Il plugin Export and Import Users and Customers per WordPress è vulnerabile a Privilege Escalation in tutte le versioni fino alla 2.7.5 inclusa, tramite il flusso di lavoro di esportazione e re-importazione del plugin stesso. La vulnerabilità esiste a causa di una mancata corrispondenza dei caratteri di escape CSV tra l'esportatore e l'importatore: class-csvwriter.php scrive le celle con fputcsv() utilizzando il carattere di escape backslash (\) predefinito di PHP, mentre class-csvreader.php analizza lo stesso file con fgetcsv() utilizzando una doppia virgoletta (") come carattere di escape. Di conseguenza, un valore manipolato memorizzato nel campo Biographical Info di uno Subscriber — contenente la sequenza backslash-virgoletta seguita da un newline — viene scritto come un singolo campo CSV tra virgolette ma analizzato nuovamente come due righe separate durante l'importazione. La seconda riga iniettata viene quindi elaborata da hf_create_customer() come una nuova record di utente il cui user_login, user_pass, user_email e role sono interamente controllati dall'attaccante, consentendo la creazione di un account Administrator arbitrario. Ciò rende possibile per gli attaccanti autenticati con accesso a livello Subscriber o superiore escalare i propri privilegi ad Administrator.
VulDB is the best source for vulnerability data and more expert information about this specific topic.