漏洞速览
- 漏洞编号：
CVE-2026-104368 - 风险评分：
8.8（高危） - 首次披露：2026-10-29
- 最近更新：2026-10-29
- 软件类型：插件
- 软件标识：
users-customers-import-export-for-wp-woocommerce - 受影响版本：<= 2.7.5
- 修复版本：2.7.6
- 是否已修复：是
漏洞详情
WordPress 的 Export and Import Users and Customers 插件在 2.7.5 及以下所有版本中，其自带的导出与重新导入流程存在权限提升漏洞。 问题根源在于导出器与导入器之间的 CSV 转义字符不一致：class-csvwriter.php 使用 fputcsv() 写入单元格，采用 PHP 默认的反斜杠（\）作为转义字符；而 class-csvreader.php 解析同一文件时使用 fgetcsv()，却以双引号（"）作为转义字符。
因此，如果订阅者（Subscriber）角色的“个人简介”字段中存入了一条精心构造的值——包含反斜杠加引号的组合并紧跟换行符——该值在导出时会被写成一个带引号的 CSV 字段，但在导入时却被解析成两行独立数据。 被注入的第二行随后会交由 hf_create_customer() 作为一条新的用户记录处理，其 user_login、user_pass、user_email 以及角色完全由攻击者控制，从而得以创建任意管理员账户。 这使得拥有订阅者及以上权限的已认证攻击者可以将自身权限提升为管理员。
影响与风险
- 漏洞类型：Authenticated (Subscriber+) Privilege Escalation via CSV Escape-Character Mismatch in Export/Import Round Trip via Biographical Info Field
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：Sebastian Albrecht (mySebbe)
修复建议
- 按官方建议执行修复：更新至 2.7.6 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
