VULNERABILIDADDetectada 30 OCT · 03:47

CVE-2026-104368 Escalada de privilegios en Export and Import Users and Customers hasta 2.7.5 por discrepancia de escape CSV

El plugin de WordPress Export and Import Users and Customers, en versiones hasta la 2.7.5 inclusive, es vulnerable a escalada de privilegios en su flujo de exportación y reimportación por una discrepancia del carácter de escape CSV entre el exportador y el importador. Un valor manipulado en el campo Biographical Info de un suscriptor se escribe como un campo CSV y se interpreta como dos filas al importar, de modo que la fila inyectada se procesa como un nuevo usuario con login, contraseña, correo y rol controlados.

8.8ALTA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 28
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

webtoffee Export and Import Users and Customers
hasta 2.7.5

Qué hacer

Verificá si usás Export and Import Users and Customers y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadAlta
DisponibilidadAlta

Descripción original

The Export and Import Users and Customers plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 2.7.5 via the plugin's own export and re-import workflow. The vulnerability exists because of a CSV escape-character mismatch between the exporter and the importer: class-csvwriter.php writes cells with fputcsv() using PHP's default backslash (\) escape character, while class-csvreader.php parses the same file with fgetcsv() using a double-quote (") as the escape character. As a result, a crafted value stored in a Subscriber's Biographical Info field — containing a backslash-quote sequence followed by a newline — is written as a single quoted CSV field but parsed back as two separate rows on import. The injected second row is then processed by hf_create_customer() as a new user record whose user_login, user_pass, user_email, and role are entirely attacker-controlled, allowing the creation of an arbitrary Administrator account. This makes it possible for authenticated attackers with Subscriber-level access and above to escalate their privileges to Administrator.

Referencias (6)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.