CVE-2026-3629WordPress插件“Import and export users and customers”在1.29.7及之前版本中存在严重的权限提升漏洞。该漏洞源于`save_extra_user_profile_fields`函数未能正确限制可通过个人资料字段更新的用户元键。具体而言，`get_restricted_fields`方法未包含`wp_capabilities`等敏感元键。在满足特定条件（即“Show fields in profile”设置已启用且之前已导入包含`wp_capabilities`列标题的CSV）的情况下，未经身份验证的攻击者可以通过提交精心设计的注册请求来设置`wp_capabilities`元键，从而将其权限提升至管理员级别。该漏洞CVSS评分为8.1，影响机密性、完整性和可用性，属于高危漏洞。
该漏洞的根本原因在于插件对用户元数据处理的不当验证。插件允许通过CSV导入用户数据，并将CSV列映射到WordPress的用户元数据。尽管插件试图通过`get_restricted_fields`方法限制可修改的字段，以防止攻击者修改关键权限字段，但该列表存在遗漏，未将`wp_capabilities`纳入限制范围。当管理员启用“Show fields in profile”选项并导入过包含`wp_capabilities`列的CSV文件后，攻击者即可利用注册机制。攻击者在注册请求中构造POST数据，包含`wp_capabilities`参数（例如设置为`administrator`），由于未受拦截，该数据会被`save_extra_user_profile_fields`函数直接写入数据库。这导致新注册的用户自动获得管理员权限，从而完全接管网站。整个过程无需预先认证，利用门槛较低。