CVE-2026-12397
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie weryfikuje własności podczas zwracania adresu e-mail pracodawcy dla danej oferty pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrującym się) na odczytanie prywatnych adresów e-mail innych pracodawców poprzez enumerację identyfikatorów ofert.
Ocena ryzyka
Ryzyko polega na wycieku poufnych danych kontaktowych pracodawców, co może prowadzić do naruszenia prywatności, spamu lub ataków socjotechnicznych na organizacje korzystające z wtyczki.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WP Job Portal do wersji 2.5.5 lub nowszej, która usuwa tę podatność.
Inne podatności w WP Job Portal
Zobacz wszystkie- CVE-2026-57653Wysokie
Wtyczka WP Job Portal w wersji 2.5.2 i starszych zawiera podatność na wstrzykiwanie SQL w module Contributor. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.
- CVE-2026-42684Krytyczne
Wtyczka WP Job Portal dla WordPressa w wersji do 2.5.1 jest podatna na wstrzykiwanie SQL (Blind SQL Injection) z powodu niewłaściwego neutralizowania specjalnych elementów w poleceniach SQL.
- CVE-2026-81299Średnie
Wtyczka WP Job Portal w wersji 2.5.9 i wcześniejszych ma podatność Insecure Direct Object References (IDOR) dla subskrybentów. Użytkownicy o roli subskrybenta mogą uzyskać dostęp do obiektów (np. danych) bez autoryzacji.
- CVE-2026-65569Wysokie
Podatność na wstrzyknięcie SQL z poziomu subskrybenta w wtyczce WP Job Portal w wersjach do 2.5.6.
- CVE-2026-12395Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nieprawidłowo oczyszcza i nie ucieka parametru przed użyciem go w zapytaniu SQL, co umożliwia uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrowalnym) przeprowadzenie ataków SQL injection.
- CVE-2026-12396Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie sprawdza uprawnień ani własności przed umożliwieniem moderacji ofert pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samodzielnie rejestrowanym) na zatwierdzanie, wyróżnianie lub odrzucanie dowolnych ofert pracy, w tym należących do innych użytkowników.
- CVE-2026-48880Średnie
Wtyczka WP Job Portal w wersjach do 2.5.2 zawiera podatność typu Cross Site Scripting (XSS), która może być wykorzystana przez subskrybentów.
- CVE-2026-42685Wysokie
Wtyczka WP Job Portal od Ahmad w wersjach do 2.5.1 zawiera podatność na Refleksyjny XSS, wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt poprzez spreparowany URL, który zostanie wykonany w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The WP Job Portal WordPress plugin before 2.5.5 does not verify ownership when returning an employer's contact email for a given job, allowing authenticated users with a subscriber-level (self-registerable) account to read other employers' private account email addresses by enumerating job identifiers.