漏洞速览
- 漏洞编号：
CVE-2026-120554 - 风险评分：
8.8（高危） - 首次披露：2026-11-03
- 最近更新：2026-11-03
- 软件类型：插件
- 软件标识：
import-users-from-csv-with-meta - 受影响版本：<= 2.5.11
- 修复版本：2.5.12
- 是否已修复：是
漏洞详情
用于 WordPress 的 Import and export users and customers 插件在其 2.5.11 及之前的所有版本中均存在权限提升漏洞。该问题的根源是 ACUI_Cron::save_settings() 函数中一个非原子的多选项写入序列：它会先持久化 acui_cron_activated、acui_cron_configured_by、acui_cron_user_id 和 acui_cron_path_to_file 这几个字段，之后才会执行授权检查（当非提升者提交角色时调用 wp_die() 终止）。因此，已通过身份验证的攻击者只需拥有具备 create_users 权限的自定义委派角色、而不具备 promote_users 或 edit_users 权限，就有可能将自身权限提升至管理员，前提是此前已存在一次由管理员发起的 cron 标签页保存记录，且在下一次无人值守的 cron 触发处理攻击者重新指向的 CSV 文件之前没有发生成功的保存操作。
影响与风险
- 漏洞类型：Authenticated (Custom+) Privilege Escalation via Non-Atomic Cron Settings Save
- 风险说明：漏洞可被用于权限提升，低权限账号可能借此获得更高后台控制能力。
- 研究人员：Abdul Halim
修复建议
- 按官方建议执行修复：更新至 2.5.12 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
