CVE-2025-9049

WysokieCVSS 8.8

Opublikowano: 05/09/2026(UTC)Zaktualizowano: 08/09/2026(UTC)Przetłumaczono: 05/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Motyw Nokri – Job Board WordPress Theme dla WordPressa jest podatny na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w funkcji 'nokri_account_member_permissions' we wszystkich wersjach do 1.6.4 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej dodawanie nowych użytkowników Subscriber z uprawnieniami członków pracodawcy, którzy z kolei mogą eskalować uprawnienia poprzez aktualizację adresu e-mail dowolnego użytkownika, w tym administratorów.

Ocena ryzyka

Ryzyko obejmuje eskalację uprawnień i przejęcie kont administratorów, co może prowadzić do pełnej kompromitacji witryny WordPress.

Rekomendacja

Zaleca się natychmiastową aktualizację motywu Nokri do wersji nowszej niż 1.6.4 oraz przegląd uprawnień użytkowników.

Inne podatności w Nokri Job Board WordPress Theme

CVE-2026-18550Krytyczne
Motyw WordPress Nokri - Job Board jest podatny na eskalację uprawnień poprzez przejęcie konta we wszystkich wersjach do 1.6.6 włącznie. Wynika to z niewystarczającej walidacji tokenu resetowania w funkcji `nokri_reset_password()`, która pozwala, aby pusty token dostarczony przez atakującego pasował do pustych lub nieustawionych wartości meta użytkownika `sb_password_forget_token`. Umożliwia to nieuwierzytelnionym atakującym zresetowanie hasła dowolnego użytkownika, w tym administratorów, i uzyskanie dostępu do ich konta.

Oryginalny opis (angielski, źródło NVD)

The Nokri – Job Board WordPress Theme theme for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the 'nokri_account_member_permissions' function in all versions up to, and including, 1.6.4. This makes it possible for authenticated attackers, with Subscriber-level access and above, to add new Subscriber users with employer account member permissions, who in turn can escalate privileges by updating the email address of any user, including Administrator users.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS