CVE-2025-5956
Açıklama
WordPress için geliştirilen WP Human Resource Management eklentisi, 2.0.0 ile 2.2.17 arasındaki sürümlerde ajax_delete_employee() fonksiyonundaki yetkilendirme eksikliği nedeniyle Keyfi Kullanıcı Silme zafiyetine sahiptir. Eklentinin silme işleyicisi, istemci tarafından sağlanan $_POST['delete'] dizisini okur ve çağıran kişinin delete_users yetkisine sahip olduğunu doğrulamadan veya hangi kullanıcı kimliklerinin kaldırılabileceğini sınırlamadan her bir ID'yi doğrudan wp_delete_user() fonksiyonuna aktarır. Bu durum, Employee seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, yöneticiler dahil olmak üzere keyfi hesapları silmesini mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| mishubd wp_human_resource_management | 2.0.0 ≤ v ≤ 2.2.17 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.