CVE-2026-9237: Błąd omijania autoryzacji w wtyczce Crew HRM dla WordPress

Co wiadomo

Wtyczka Crew HRM do zarządzania pracownikami i rekrutacją w WordPressie do wersji 1.2.2 ma lukę umożliwiającą użytkownikom z poziomem subskrybenta usuwanie i modyfikowanie ofert pracy bez odpowiednich uprawnień. Luka wynika z niewłaściwej weryfikacji autoryzacji oraz łatwego dostępu do tokenu nonce.

Wpływ biznesowy

Atakujący z kontem subskrybenta mogą manipulować ofertami pracy, co może prowadzić do utraty danych lub zakłócenia procesów HR. Dla operatorów IT oznacza to ryzyko naruszenia integralności danych i konieczność zwiększonego monitoringu aktywności użytkowników. Infrastruktura może wymagać szybkiej reakcji, aby zapobiec nadużyciom i utrzymać zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Crew HRM i ich zastosowanie. W międzyczasie ogranicz dostęp do panelu zarządzania ofertami pracy tylko do zaufanych użytkowników oraz monitoruj logi pod kątem nietypowych działań. Przeanalizuj uprawnienia użytkowników i rozważ wdrożenie dodatkowych mechanizmów kontroli dostępu.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference