CVE-2025-5953

Nome do Software Vulnerável e Versões Afetadas: Versões 2.0.0 a 2.2.17 do plugin WP Human Resource Management

Descrição: O problema está relacionado à falta de autorização nas funções ajax insert employee() e update employee(). Isso permite que atacantes autenticados com acesso de nível de Funcionário ou superior elevem seus privilégios para administrador. O manipulador AJAX lê o role fornecido pelo cliente e o passa para wp insert user() e posteriormente para $user->set role() sem verificar se o usuário atual tem permissão para atribuir essa função.

Recomendações: Para as versões 2.0.0 a 2.2.17 do plugin WP Human Resource Management, considere desativar as funções ajax insert employee() e update employee() até que um patch esteja disponível para prevenir o escalonamento de privilégios. Restrinja o acesso a essas funções para minimizar o risco de exploração. Evite usar a variável role no endpoint AJAX afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.