CVE-2026-22386
ŚrednieCVSS 4.3Streszczenie
Wtyczka WP Job Portal firmy Ahmad (do wersji 2.7.1) ma podatność braku autoryzacji, pozwalającą na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Atakujący może wykonać nieautoryzowane operacje w portalu pracy, co może prowadzić do modyfikacji ofert lub danych użytkowników.
Rekomendacja
Zaktualizuj wtyczkę WP Job Portal do najnowszej wersji i zweryfikuj uprawnienia użytkowników.
Inne podatności w WP Job Portal
Zobacz wszystkie- CVE-2026-42684Krytyczne
Wtyczka WP Job Portal dla WordPressa w wersji do 2.5.1 jest podatna na wstrzykiwanie SQL (Blind SQL Injection) z powodu niewłaściwego neutralizowania specjalnych elementów w poleceniach SQL.
- CVE-2026-116546Średnie
Wtyczka WP Job Portal dla WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'degreetitle' w wersjach do 2.7.0 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z poziomem subskrybenta lub wyższym może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-81299Średnie
Wtyczka WP Job Portal w wersji 2.5.9 i wcześniejszych ma podatność Insecure Direct Object References (IDOR) dla subskrybentów. Użytkownicy o roli subskrybenta mogą uzyskać dostęp do obiektów (np. danych) bez autoryzacji.
- CVE-2026-65569Wysokie
Podatność na wstrzyknięcie SQL z poziomu subskrybenta w wtyczce WP Job Portal w wersjach do 2.5.6.
- CVE-2026-12395Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nieprawidłowo oczyszcza i nie ucieka parametru przed użyciem go w zapytaniu SQL, co umożliwia uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrowalnym) przeprowadzenie ataków SQL injection.
- CVE-2026-12397Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie weryfikuje własności podczas zwracania adresu e-mail pracodawcy dla danej oferty pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samorejestrującym się) na odczytanie prywatnych adresów e-mail innych pracodawców poprzez enumerację identyfikatorów ofert.
- CVE-2026-12396Średnie
Wtyczka WP Job Portal dla WordPressa przed wersją 2.5.5 nie sprawdza uprawnień ani własności przed umożliwieniem moderacji ofert pracy, co pozwala uwierzytelnionym użytkownikom z kontem na poziomie subskrybenta (samodzielnie rejestrowanym) na zatwierdzanie, wyróżnianie lub odrzucanie dowolnych ofert pracy, w tym należących do innych użytkowników.
- CVE-2026-57653Wysokie
Wtyczka WP Job Portal w wersji 2.5.2 i starszych zawiera podatność na wstrzykiwanie SQL w module Contributor. Umożliwia to atakującemu manipulację zapytaniami do bazy danych.
- CVE-2026-48880Średnie
Wtyczka WP Job Portal w wersjach do 2.5.2 zawiera podatność typu Cross Site Scripting (XSS), która może być wykorzystana przez subskrybentów.
- CVE-2026-42685Wysokie
Wtyczka WP Job Portal od Ahmad w wersjach do 2.5.1 zawiera podatność na Refleksyjny XSS, wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania strony. Atakujący może wstrzyknąć złośliwy skrypt poprzez spreparowany URL, który zostanie wykonany w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Ahmad WP Job Portal wp-job-portal allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects WP Job Portal: from n/a through 2.7.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS