CVE-2026-1317: SQL Injection w wtyczce WP Import – Ultimate CSV XML Importer dla WordPress

Co wiadomo

Wtyczka WP Import – Ultimate CSV XML Importer dla WordPress do wersji 7.37 włącznie jest podatna na SQL Injection z powodu niewystarczającego oczyszczania parametru file_name. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzyknąć złośliwe zapytania SQL poprzez nazwę pliku podczas importu, co umożliwia wyciek danych z bazy.

Wpływ biznesowy

Podatność pozwala na wyciek wrażliwych informacji z bazy danych WordPress, co może prowadzić do naruszenia poufności danych i dalszych ataków na infrastrukturę. Zagrożenie dotyczy serwerów z PHP w wersji poniżej 8.0 oraz gdy wtyczka działa z włączoną opcją 'Single Import/Export'. Operatorzy powinni ocenić ryzyko i priorytetyzować działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się aktualizację wtyczki do najnowszej wersji po jej wydaniu przez producenta. Do czasu dostępności poprawki należy rozważyć wyłączenie opcji 'Single Import/Export' oraz ograniczenie dostępu do funkcji importu tylko do zaufanych użytkowników. Warto również monitorować logi serwera pod kątem podejrzanych zapytań SQL i przeglądać konfigurację PHP, aby rozważyć aktualizację do wersji 8.0 lub wyższej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference