CVE-2025-14467
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WP Job Portal dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) we wszystkich wersjach do 2.4.4 włącznie. Wtyczka jawnie zezwala na tag `<script>` w konfiguracji `WPJOBPORTAL_ALLOWED_TAGS` i używa niewystarczającej sanityzacji wejścia przy zapisie opisów stanowisk. Uwierzytelnieni atakujący z dostępem na poziomie Editor lub wyższym mogą wstrzykiwać dowolne skrypty do pól opisu stanowiska, które wykonują się przy dostępie do strony. Podatność dotyczy tylko instalacji wielostanowiskowych lub gdy unfiltered_html jest wyłączone.
Ocena ryzyka
Atakujący mogą wykonywać skrypty w przeglądarkach użytkowników, co może prowadzić do przejęcia sesji, kradzieży danych logowania i innych złośliwych działań.
Rekomendacja
Zaktualizuj wtyczkę WP Job Portal do wersji zawierającej poprawkę. Ogranicz uprawnienia użytkowników i włącz filtrowanie HTML.
Inne podatności w WP Job Portal
Zobacz wszystkie- CVE-2026-22386Średnie
Wtyczka WP Job Portal firmy Ahmad (do wersji 2.7.1) ma podatność braku autoryzacji, pozwalającą na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-42684Krytyczne
Wtyczka WP Job Portal dla WordPressa w wersji do 2.5.1 jest podatna na wstrzykiwanie SQL (Blind SQL Injection) z powodu niewłaściwego neutralizowania specjalnych elementów w poleceniach SQL.
- CVE-2026-116546Średnie
Wtyczka WP Job Portal dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'degreetitle' w wersjach do 2.7.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-81299Średnie
Wtyczka WP Job Portal w wersji 2.5.9 i wcześniejszych ma podatność Insecure Direct Object References (IDOR) dla subskrybentów. Użytkownicy o roli subskrybenta mogą uzyskać dostęp do obiektów (np. danych) bez autoryzacji.
- CVE-2026-65569Wysokie
Podatność na wstrzyknięcie SQL z poziomu subskrybenta w wtyczce WP Job Portal w wersjach do 2.5.6.
- CVE-2026-12395Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nieprawidłowo oczyszcza i nie ucieka parametru przed użyciem go w zapytaniu SQL, co umożliwia uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrowalnym) przeprowadzenie ataków SQL injection.
- CVE-2026-12397Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie weryfikuje własności podczas zwracania adresu e-mail pracodawcy dla danej oferty pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrującym się) na odczytanie prywatnych adresów e-mail innych pracodawców poprzez enumerację identyfikatorów ofert.
- CVE-2026-12396Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie sprawdza uprawnień ani własności przed umożliwieniem moderacji ofert pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samodzielnie rejestrowanym) na zatwierdzanie, wyróżnianie lub odrzucanie dowolnych ofert pracy, w tym należących do innych użytkowników.
- CVE-2026-57653Wysokie
Wtyczka WP Job Portal w wersji 2.5.2 i starszych zawiera podatność na wstrzykiwanie SQL w module Contributor. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.
- CVE-2026-48880Średnie
Wtyczka WP Job Portal w wersjach do 2.5.2 zawiera podatność typu Cross Site Scripting (XSS), która może być wykorzystana przez subskrybentów.
Oryginalny opis (angielski, źródło NVD)
The WP Job Portal plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 2.4.4. This is due to the plugin explicitly whitelisting the `<script>` tag in its `WPJOBPORTAL_ALLOWED_TAGS` configuration and using insufficient input sanitization when saving job descriptions. This makes it possible for authenticated attackers, with Editor-level access and above, to inject arbitrary web scripts into job description fields via the job creation/editing interface. These scripts will execute whenever a user accesses an injected page, enabling session hijacking, credential theft, and other malicious activities.This only impacts multi-site installations, or those with unfiltered_html disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS