漏洞速览
- 漏洞编号：
CVE-2026-7641 - 风险评分：
8.8（高危） - 首次披露：2026-05-01
- 最近更新：2026-05-01
- 软件类型：插件
- 软件标识：
import-users-from-csv-with-meta - 受影响版本：<= 2.0.8
- 修复版本：2.0.9
- 是否已修复：是
漏洞详情
WordPress 的 Import and export users and customers 插件在 2.0.8 及之前所有版本中存在权限提升漏洞，问题出在 saveextrauserprofilefields() 函数。该函数虽然对主站点正确限制了能力元键（如 wpcapabilities、wpuserlevel），但未能阻止 WordPress Multisite 网络中其他子站点对应的元键（如 wp2capabilities、wp2userlevel），导致这些元键可以通过 inarray() 检查并通过 updateusermetadata() 直接写入用户元数据。攻击者只需具备订阅者级别（Subscriber）及以上的访问权限，即可在 Multisite 网络的任意子站点上通过向 /wp-admin/profile.php 提交精心构造的个人资料更新来将自身权限提升为管理员。利用此漏洞的前提是：管理员之前已导入过包含 multisite 前缀能力列头的 CSV 文件，并开启了"Show fields in profile?"（在个人资料页面显示字段）选项，这会导致这些元键被存储在 acuicolumns 选项中，并在用户个人资料页面上暴露为可编辑字段。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) Privilege Escalation via Multisite Capability Meta Fields
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：kiemtiendinhau
修复建议
- 按官方建议执行修复：更新至 2.0.9 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
