CVE-2026-86583: Escalation di privilegi nel plugin WordPress

Il CVE-2026-86583 è una privilege escalation nel plugin WordPress 'Import and export users and customers'. La falla sfrutta il disallineamento tra il carattere di escape in esportazione (NUL byte) e importazione (backslash). Un attaccante autenticato può inserire valori modificati nei campi di profilo per causare il merging errato delle colonne CSV e ottenere il ruolo di Administrator al reimport.

La vulnerabilità presenta CVSS 8,8 (High). Richiede un attaccante autenticato con accesso minimo Subscriber e l'intervento manuale di un amministratore che esegua la procedura documentata di export-reimport con entrambi i flag 'Update existing users' e 'Update roles for existing users' impostati a 'sì'. Pubblicata su NVD il 23 settembre 2026, è confermata da un segnale GitHub presente dal 4 novembre 2026 che indica l'esistenza di repository pubbliche con exploit dichiarati.

I team di sicurezza e amministratori di WordPress devono verificare l'installazione del plugin 'Import and export users and customers'. Se presente, disabilitare il plugin fino a patch ufficiale. In alternativa, disabilitare la funzione di export-reimport oppure non attivare contemporaneamente entrambi i flag 'Update existing users' e 'Update roles for existing users' durante le operazioni. Controllare log e liste utenti per segni di escalation già avvenuta.