Import and export users and customers · importação de usuários por CSV
Quem tem permissão de importar usuários (por exemplo, um editor) consegue criar administradores com um CSV manipulado.
Você mesmo
- Atualize o plugin para a 2.5.2 ou superior.
- Audite a lista de administradores em busca de contas recentes desconhecidas.
Seu dev ou hospedagem
- Restringir a permissão de importação de CSV a administradores de confiança.
Detalhes técnicos: Foi publicada em 20 de setembro de 2026 a CVE-2026-92540 (relacionada à CVE-2026-92541), afetando o plugin “Import and export users and customers” em versões até a 2.5.1. Na função de importação de usuários via CSV, o plugin não verifica corretamente a capability promote_users ao atribuir papéis durante a importação, permitindo que um usuário com apenas a permissão create_users (por exemplo, um Editor com acesso de importação configurado) crie novos administradores ou promova contas existentes a administrador enviando um CSV manipulado. A correção está na versão 2.5.2.
Dados técnicos
CVE-2026-92540 · CVE-2026-92541 · Fonte: TheHackerWire