Escalade de privilèges via import CSV dans Export and Import Users and Customers

Veille sécuritéCMS & e-commerce

P3Élevée

CVE-2026-104368 concerne une escalade de privilèges dans Export and Import Users and Customers : un abonné authentifié peut exploiter une incohérence de traitement CSV pour créer un compte administrateur. Les versions jusqu’à 2.7.5 inclus sont indiquées comme vulnérables ; aucun correctif ni contournement n’est précisé dans la source fournie.

IdentifiantCVE-2026-104368

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-104368

Analyse technique

L’export CSV et sa réimportation n’utilisent pas le même caractère d’échappement. Une valeur spécialement construite dans le champ Biographical Info peut être relue comme une ligne utilisateur distincte avec un rôle et des identifiants contrôlés par l’attaquant.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-30, dans la période demandée ; les informations fournies décrivent une vulnérabilité précise, et non une simple modification administrative.

ImpactUn utilisateur authentifié de niveau Subscriber ou supérieur peut obtenir un compte Administrator.

Versions affectéesToutes les versions jusqu’à 2.7.5 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS0,35% · percentile 28,3%

Publication2026-10-30T05:16:57.833Z

Mise à jour2026-10-30T17:17:12.020Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible ; la source fournie ne précise pas de version corrigée.

Sources

NVD — CVE-2026-104368

Priorisation DFS : P3 · 1 source(s).