CVE-2025-14467
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WP Job Portal dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) we wszystkich wersjach do 2.4.4 włącznie. Wtyczka jawnie zezwala na tag `<script>` w konfiguracji `WPJOBPORTAL_ALLOWED_TAGS` i używa niewystarczającej sanityzacji wejścia przy zapisie opisów stanowisk. Uwierzytelnieni atakujący z dostępem na poziomie Editor lub wyższym mogą wstrzykiwać dowolne skrypty do pól opisu stanowiska, które wykonują się przy dostępie do strony. Podatność dotyczy tylko instalacji wielostanowiskowych lub gdy unfiltered_html jest wyłączone.
Ocena ryzyka
Atakujący mogą wykonywać skrypty w przeglądarkach użytkowników, co może prowadzić do przejęcia sesji, kradzieży danych logowania i innych złośliwych działań.
Rekomendacja
Zaktualizuj wtyczkę WP Job Portal do wersji zawierającej poprawkę. Ogranicz uprawnienia użytkowników i włącz filtrowanie HTML.
Inne podatności w WP Job Portal
Zobacz wszystkie- CVE-2026-57653Wysokie
Wtyczka WP Job Portal w wersji 2.5.2 i starszych zawiera podatność na wstrzykiwanie SQL w module Contributor. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.
- CVE-2026-42684Krytyczne
Wtyczka WP Job Portal dla WordPressa w wersji do 2.5.1 jest podatna na wstrzykiwanie SQL (Blind SQL Injection) z powodu niewłaściwego neutralizowania specjalnych elementów w poleceniach SQL.
- CVE-2026-81299Średnie
Wtyczka WP Job Portal w wersji 2.5.9 i wcześniejszych ma podatność Insecure Direct Object References (IDOR) dla subskrybentów. Użytkownicy o roli subskrybenta mogą uzyskać dostęp do obiektów (np. danych) bez autoryzacji.
- CVE-2026-65569Wysokie
Podatność na wstrzyknięcie SQL z poziomu subskrybenta w wtyczce WP Job Portal w wersjach do 2.5.6.
- CVE-2026-12395Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nieprawidłowo oczyszcza i nie ucieka parametru przed użyciem go w zapytaniu SQL, co umożliwia uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrowalnym) przeprowadzenie ataków SQL injection.
- CVE-2026-12397Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie weryfikuje własności podczas zwracania adresu e-mail pracodawcy dla danej oferty pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrującym się) na odczytanie prywatnych adresów e-mail innych pracodawców poprzez enumerację identyfikatorów ofert.
- CVE-2026-12396Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie sprawdza uprawnień ani własności przed umożliwieniem moderacji ofert pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samodzielnie rejestrowanym) na zatwierdzanie, wyróżnianie lub odrzucanie dowolnych ofert pracy, w tym należących do innych użytkowników.
- CVE-2026-48880Średnie
Wtyczka WP Job Portal w wersjach do 2.5.2 zawiera podatność typu Cross Site Scripting (XSS), która może być wykorzystana przez subskrybentów.
- CVE-2026-42685Wysokie
Wtyczka WP Job Portal od Ahmad w wersjach do 2.5.1 zawiera podatność na Refleksyjny XSS, wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt poprzez spreparowany URL, który zostanie wykonany w przeglądarce ofiary.
- CVE-2025-14293Średnie
Wtyczka WP Job Portal dla WordPressa w wersjach do 2.4.0 włącznie jest podatna na odczyt dowolnych plików poprzez funkcję 'downloadCustomUploadedFile'. Uwierzytelniony atakujący z uprawnieniami Subscriber lub wyższymi może odczytać zawartość dowolnych plików na serwerze.
Oryginalny opis (angielski, źródło NVD)
The WP Job Portal plugin for WordPress is vulnerable to Stored Cross-Site Scripting in all versions up to, and including, 2.4.4. This is due to the plugin explicitly whitelisting the `<script>` tag in its `WPJOBPORTAL_ALLOWED_TAGS` configuration and using insufficient input sanitization when saving job descriptions. This makes it possible for authenticated attackers, with Editor-level access and above, to inject arbitrary web scripts into job description fields via the job creation/editing interface. These scripts will execute whenever a user accesses an injected page, enabling session hijacking, credential theft, and other malicious activities.This only impacts multi-site installations, or those with unfiltered_html disabled.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS