CVE-2025-7374
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka WP JobHunt dla WordPressa, używana przez motyw JobCareer, jest podatna na obejście autoryzacji we wszystkich wersjach do 7.6 włącznie. Wynika to z niewystarczających ograniczeń logowania dla nieaktywnych i oczekujących kont, co umożliwia uwierzytelnionym atakującym z poziomem dostępu Candidate i Employer lub wyższym zalogowanie się do witryny nawet jeśli ich konto jest nieaktywne lub oczekujące.
Ocena ryzyka
Atakujący może uzyskać dostęp do witryny mimo blokady konta, co może prowadzić do nieautoryzowanych działań, takich jak publikowanie treści lub dostęp do danych. Może to naruszyć politykę bezpieczeństwa organizacji.
Rekomendacja
Zaktualizuj wtyczkę WP JobHunt do wersji nowszej niż 7.6, która naprawia podatność. Dodatkowo zweryfikuj mechanizmy kontroli dostępu dla kont nieaktywnych i oczekujących.
Inne podatności w WP JobHunt
Oryginalny opis (angielski, źródło NVD)
The WP JobHunt plugin for WordPress, used by the JobCareer theme, is vulnerable to authorization bypass in all versions up to, and including, 7.6. This is due to insufficient login restrictions on inactive and pending accounts. This makes it possible for authenticated attackers, with Candidate- and Employer-level access and above, to log in to the site even if their account is inactive or pending.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS