CVE-2026-9237

Nome do Software Vulnerável e Versões Afetadas Crew HRM plugin for WordPress versões anteriores a 1.2.3

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Usuários autenticados com nível de acesso de assinante ou superior podem excluir, arquivar, desarquivar e duplicar listagens de vagas arbitrárias, incluindo etapas associadas, meta, endereços e candidaturas. Isso é feito fornecendo um número inteiro arbitrário job id para a ação AJAX crewhrm singleJobAction. O nonce verificado pela função Dispatcher::dispatch() é exposto a todos os visitantes autenticados do front-end via localização de script wp head, permitindo que usuários com baixos privilégios ignorem a verificação de segurança.

Recomendações Atualize o plugin para uma versão posterior à 1.2.2.