Export and Import Users and Customers: Privilegienerweiterung über CSV-Import
Das WordPress-Plugin Export and Import Users and Customers weist eine Abweichung bei den Escape-Zeichen zwischen Export- und Importfunktion auf. Ein authentifizierter Angreifer mit Subscriber-Berechtigung kann im Feld Biographical Info manipulierte Inhalte speichern, die beim erneuten Import als eigenständiger Benutzerdatensatz verarbeitet werden und so die Erstellung eines Administrator-Kontos ermöglichen. Der Angriff setzt voraus, dass ein Administrator den Import ausführt; dies ist durch die Quellen noch nicht bestätigt.
WebToffee · Export and Import Users and Customers
