CVE-2025-14467
Açıklama
WordPress için geliştirilen WP Job Portal eklentisi, 2.4.4 sürümü dahil tüm önceki sürümlerde Saklı Siteler Arası Betik Çalıştırma (Stored XSS) zafiyetine sahiptir. Bu durum, eklentinin `WPJOBPORTAL_ALLOWED_TAGS` yapılandırmasında `<script>` etiketini açıkça beyaz listeye almasından ve iş tanımları kaydedilirken yetersiz girdi temizleme işlemi yapmasından kaynaklanmaktadır. Bu durum; Editör seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, iş oluşturma/düzenleme arayüzü üzerinden iş tanımı alanlarına rastgele web betikleri yerleştirmesini mümkün kılmaktadır. Bu betikler, bir kullanıcı etkilenen sayfaya her eriştiğinde çalışarak oturum çalma, kimlik bilgisi hırsızlığı ve diğer kötü niyetli faaliyetlere olanak tanır. Bu durum yalnızca çoklu site kurulumlarını veya unfiltered_html özelliği devre dışı bırakılmış sistemleri etkilemektedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wpjobportal WP Job Portal – AI-Powered Recruitment System for Company or Job Board website | v ≤ 2.3.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.