CVE-2026-1317 in WP Import Plugin
Tóm tắt
Bởi VulDB • 23/05/2026
Plugin WP Import – Ultimate CSV XML Importer for WordPress cho WordPress bị lỗ hổng SQL Injection trong tất cả các phiên bản từ 7.37 trở về trước. Lỗ hổng này xảy ra do việc thiếu cơ chế thoát ký tự (escaping) không đầy đủ trên tham số `file_name`, tham số này được lưu trữ trong cơ sở dữ liệu trong quá trình tải lên tệp và sau đó được sử dụng trong các truy vấn SQL thô mà không được kiểm tra và làm sạch (sanitization) thích hợp. Điều này cho phép các kẻ tấn công đã xác thực với quyền cấp Subscriber trở lên chèn thêm các truy vấn SQL vào các truy vấn hiện có thông qua một tên tệp độc hại, từ đó có thể trích xuất thông tin nhạy cảm từ cơ sở dữ liệu. Lỗ hổng này chỉ có thể bị khai thác khi tùy chọn 'Single Import/Export' được bật và máy chủ đang chạy phiên bản PHP < 8.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.