CVE-2026-3629
Açıklama
WordPress için Import and export users and customers eklentisi, 1.29.7 sürümü dahil tüm önceki sürümlerde yetki yükseltme zafiyetine sahiptir. Bu durum, 'save_extra_user_profile_fields' fonksiyonunun profil alanları üzerinden hangi kullanıcı meta anahtarlarının güncellenebileceğini uygun şekilde kısıtlamamasından kaynaklanmaktadır. 'get_restricted_fields' yöntemi, 'wp_capabilities' gibi hassas meta anahtarları içermemektedir. Bu durum, kimliği doğrulanmamış saldırganların 'wp_capabilities' meta anahtarını ayarlayan özel olarak hazırlanmış bir kayıt isteği göndererek yetkilerini Administrator seviyesine yükseltmelerini mümkün kılmaktadır. Zafiyet, yalnızca "Show fields in profile" ayarı etkinse ve daha önce wp_capabilities sütun başlığına sahip bir CSV dosyası içe aktarılmışsa istismar edilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| carazo Import and export users and customers | v ≤ 1.29.7 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.