WP Ultimate CSV Importer 远程代码执行漏洞分析

漏洞概述 漏洞名称: WP Ultimate CSV Importer <= 8.0.1 - Missing Authorization to Authenticated (Subscriber+) Remote Code Execution via 'MappedFields' Parameter CVE ID: CVE-2026-13353 CVSS 评分: 8.8 (High) 发布日期: 2026年7月10日 最后更新日期: 2026年7月11日 研究人员: daroo 影响范围 软件类型: 插件 软件名称: WP Ultimate CSV Importer – WordPress Import & Export for CSV, XML & Excel 受影响版本: <= 8.0.1 修复版本: 8.1 修复方案 修复措施: 升级到版本 8.1 或更高版本。 漏洞描述 WP Ultimate CSV Importer – WordPress Import & Export for CSV, XML & Excel 插件在版本 8.0.1 及之前存在远程代码执行漏洞。该漏洞是由于缺少对 AJAX 处理程序（如 , , 和 ）的检查，导致任何经过身份验证的用户（包括订阅者级别）可以加载一个管理员页面，允许订阅者安装 Import WooCommerce 附加组件，并在 参数中注入攻击者控制的 PHP 表达式，从而触发 在 中执行。这使得具有订阅者级别访问权限的攻击者可以在服务器上执行代码。 参考链接 plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org plugins.trac.wordpress.org 其他信息 分享选项: Facebook, Twitter, LinkedIn, Email 近期漏洞 WP Import – Ultimate CSV XML Importer for WordPress <= 7.37 - Authenticated (Subscriber+) SQL Injection via File Name - CVE ID: CVE-2026-1317 - CVSS 评分: 6.5 - 研究人员: Dieu Link, GCSC Vietnam - 发布日期: 2026年2月17日 WP Import – Ultimate CSV XML Importer for WordPress <= 7.35 - Authenticated (Contributor+) Server-Side Request Forgery via Bitly Shortlink Bypass - CVE ID: CVE-2025-14627 - CVSS 评分: 6.4 - 研究人员: Dieu Link, GCSC Vietnam - 发布日期: 2026年1月1日 WP Import – Ultimate CSV XML Importer for WordPress <= 7.33.1 - Authenticated (Administrator+) PHP Object Injection via CSV Import - CVE ID: CVE-2025-13145 - CVSS 评分: 7.2 - 研究人员: Dieu Link, GCSC Vietnam - 发布日期: 2025年11月18日 WP Import – Ultimate CSV XML Importer for WordPress <= 7.33 - Missing Authorization to Authenticated (Author+) Sensitive Information Exposure - CVE ID: CVE-2025-12732 - CVSS 评分: 4.3 - 研究人员: typeSafe - 发布日期: 2025年11月11日 WP Import – Ultimate CSV XML Importer for WordPress 7.20 - 7.28 - Authenticated (Subscriber+) Remote Code Execution via Code Injection - CVE ID: CVE-2025-10057 - CVSS 评分: 8.8 - 研究人员: Arkadiusz Hydzik - 发布日期: 2025年9月16日 WP Import – Ultimate CSV XML Importer for WordPress <= 7.27 - Authenticated (Subscriber+) Arbitrary File Deletion - CVE ID: CVE-2025-10058 - CVSS 评分: 8.1 - 研究人员: Arkadiusz Hydzik - 发布日期: 2025年9月16日 WP Import – Ultimate CSV XML Importer for WordPress <= 7.27 - Missing Authorization to Authenticated (Subscriber+) FTP/SFTP Credential Exposure - CVE ID: CVE-2025-10040 - CVSS 评分: 7.7 - 研究人员: Arkadiusz Hydzik - 发布日期: 2025年9月9日 WP Import Export Suite for CSV and XML, Datafeed <= 7.19 - Authenticated (Subscriber+) Arbitrary File Upload - CVE ID: CVE-2025-2008 - CVSS 评分: 8.8 - 研究人员: mikemyers - 发布日期: 2025年3月21日 WP Import Export Suite for CSV and XML, Datafeed <= 7.19 - Authenticated (Subscriber+) Arbitrary File Deletion - CVE ID: CVE-2025-2007 - CVSS 评分: 8.1 - 研究人员: mikemyers - 发布日期: 2025年3月25日 WP Ultimate CSV Importer <= 7.9.8 - Arbitrary Username Update to Authenticated (Author+) Privilege Escalation - CVE ID: CVE-2023-4140 - CVSS 评分: 6.6 - 研究人员: István Márton - 发布日期: 2023年8月3日 更多信息 Wordfence Intelligence: 提供个人和商业 API 访问，用于 WordPress 漏洞数据库，并支持 webhook 集成。 Wordfence 插件: 安装 Wordfence 插件以立即通知您网站是否受到新漏洞的影响。 文档: 查看文档以了解如何访问和使用漏洞数据 API。 联系方式 业务时间: 9am-8pm ET, 6am-5pm PT 和 2pm-1am UTC/GMT（不包括周末和节假日） 响应时间: 客户收到 24 小时支持，全年 365 天，响应时间为 1 小时 法律声明 版权: 2012-2026 Defiant Inc. 版权所有 许可: 根据 MITRE 许可，CVE 使用授权授予永久、全球、非独占、免版税、不可撤销的版权许可，用于复制、准备衍生作品、公开显示、公开表演、分发和分发通用漏洞和暴露（CVE）。 社交媒体 Facebook: Wordfence Twitter: Wordfence LinkedIn: Wordfence Instagram: Wordfence 页脚链接 产品: Wordfence Free, Wordfence Premium, Wordfence Care, Wordfence Response, Wordfence CLI, Wordfence Intelligence, Wordfence Central 支持: Documentation, Learning Center, Free Support, Premium Support 新闻: Blog, In The News, Vulnerability Advisories 关于: About Wordfence, Affiliate Program, Employment, Contact, Security, CVE Request Form 订阅: 订阅新闻和更新，由经验丰富的安全专业人员提供 其他信息 Terms of Service: Terms of Service Privacy Policy and Notice at Collection: Privacy Policy Do Not Sell or Share My Personal Information: Do Not Sell or Share My Personal Information 总结 该网页详细介绍了 WP Ultimate CSV Importer 插件中的多个漏洞，包括远程代码执行、SQL 注入、服务器端请求伪造、PHP 对象注入、敏感信息暴露、任意文件删除、FTP/SFTP 凭证暴露、任意文件上传和权限提升等。每个漏洞都提供了 CVE ID、CVSS 评分、研究人员和发布日期等详细信息。建议用户升级到最新版本以修复这些漏洞。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

WP Ultimate CSV Importer 远程代码执行漏洞分析

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

WP Ultimate CSV Importer 远程代码执行漏洞分析

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！