CVE-2026-104368

Nome do Software Vulnerável e Versões Afetadas Export and Import Users and Customers plugin for WordPress versões anteriores a 2.7.6

Descrição Existe um problema no fluxo de exportação e reimportação devido a uma incompatibilidade de caracteres de escape de CSV entre o exportador e o importador. O arquivo class-csvwriter.php utiliza fputcsv() com o caractere de escape de barra invertida () padrão, enquanto o class-csvreader.php utiliza fgetcsv() com o caractere de escape de aspas duplas ("). Um invasor autenticado com acesso de nível de Assinante pode explorar isso inserindo um valor manipulado no campo de Informações Biográficas contendo uma sequência de barra invertida-aspas e uma nova linha. Isso faz com que o importador analise os dados como duas linhas separadas, permitindo que a função hf create customer() processe uma linha injetada como um novo registro de usuário. Consequentemente, o invasor pode controlar as variáveis user login, user pass, user email e role para criar uma conta de Administrador não autorizada e escalar privilégios.

Recomendações Atualize o plugin para a versão 2.7.6 ou posterior.