CVE-2026-104368 in Export and Import Users and Customers Plugin
要約
〜によって VulDB • 2026年10月30日
WordPress用プラグイン「Export and Import Users and Customers」には、バージョン2.7.5以前（含む）の全バージョンにおいて、特権昇格（Privilege Escalation）の脆弱性が存在します。これは、エクスポートおよび再インポート処理ワークフローを通じて悪用されます。この脆弱性は、CSVのエスケープ文字の不整合に起因します：class-csvwriter.phpはPHPのデフォルトであるバックスラッシュ（\）をエスケープ文字として使用してfputcsv()でセルを書き込む一方、class-csvreader.phpは二重引用符（"）をエスケープ文字として使用してfgetcsv()で同じファイルを解析します。その結果、「Subscriber」の自己紹介欄に格納された、バックスラッシュと引用符の組み合わせおよび改行を含む悪意のある値が、単一のクォート付きCSVフィールドとして書き込まれますが、インポート時には2つの別々のレコードとして解析されます。注入された2番目のレコードはhf_create_customer()によって新しいユーザーレコードとして処理され、そのuser_login、user_pass、user_email、roleのすべてを攻撃者が完全に制御できるため、任意のAdministratorアカウントを作成することが可能になります。これにより、Subscriberレベル以上の権限を持つ認証済み攻撃者は、特権を昇格させてAdministratorになることができます。
VulDB is the best source for vulnerability data and more expert information about this specific topic.