Export and Import Users and Customers: Privilegienerweiterung über CSV-Import

Zusammenfassung

Das WordPress-Plugin Export and Import Users and Customers weist eine Abweichung bei den Escape-Zeichen zwischen Export- und Importfunktion auf. Ein authentifizierter Angreifer mit Subscriber-Berechtigung kann im Feld Biographical Info manipulierte Inhalte speichern, die beim erneuten Import als eigenständiger Benutzerdatensatz verarbeitet werden und so die Erstellung eines Administrator-Kontos ermöglichen. Der Angriff setzt voraus, dass ein Administrator den Import ausführt; dies ist durch die Quellen noch nicht bestätigt.

Betroffen

• WordPress-Plugin Export and Import Users and Customers (Slug users-customers-import-export-for-wp-woocommerce)
• Alle Versionen bis und mit 2.7.5

Behoben in

Unbekannt. Weder der Hersteller noch die Quellen bestätigen eine gepatchte Version.

Umgehung

• Die Import-Funktion für Benutzer deaktivieren oder auf einen minimalen Kreis vertrauenswürdiger Administratoren beschränken, bis eine korrigierte Version bestätigt ist.
• Nicht benötigte Selbstregistrierung von Subscriber-Konten nach Möglichkeit entfernen.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn (KEV: No).
• Öffentlicher Proof of Concept: nicht bestätigt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist und in Version 2.7.5 oder älter vorliegt.
• Falls ja, die Import-Funktion deaktivieren oder auf vertrauenswürdige Administratoren beschränken, bis eine korrigierte Version bestätigt ist.
• Administrator-Konten und kürzlich erstellte Benutzer auf unbekannte Einträge prüfen.
• Prüfen, ob die Selbstregistrierung von Subscriber-Konten erforderlich ist.
• Den Hersteller-Fix sobald verfügbar einspielen und die korrigierte Version im Wordfence-Eintrag verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Trac changeset 3741112 plugins.trac.wordpress.org
• Trac class-csvreader.php (2.7.5) plugins.trac.wordpress.org
• Trac class-csvwriter.php (2.7.5) plugins.trac.wordpress.org
• VulDB CVE page vuldb.com
• Strix CVE record www.strix.ai
• Offseq threat summary radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:46.