CVE-2026-9237
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Crew HRM dla WordPressa do wersji 1.2.2 włącznie zawiera podatność na ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą usuwać, archiwizować, przywracać i duplikować dowolne oferty pracy wraz z powiązanymi danymi, wykorzystując nieprawidłową weryfikację uprawnień i ujawniony nonce.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane manipulacje danymi rekrutacyjnymi, co może prowadzić do utraty poufnych informacji o kandydatach oraz zakłócenia procesów HR.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Crew HRM do najnowszej dostępnej wersji, która usuwa tę podatność, oraz ograniczyć dostęp do panelu administracyjnego WordPressa dla nieuprawnionych użytkowników.
Inne podatności w Crew HRM
Oryginalny opis (angielski, źródło NVD)
The Employee, Leave and Recruitment Management System – Crew HRM plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.2.2. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with subscriber-level access and above, to delete, archive, unarchive, and duplicate arbitrary job listings — along with their associated stages, meta, addresses, and applications — by supplying an arbitrary integer job_id. The nonce verified by Dispatcher::dispatch() is exposed to all authenticated front-end visitors via wp_head script localization, meaning subscribers can trivially obtain it and satisfy the nonce check without possessing any elevated privilege.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS