CVE-2025-13990: XSRF em Mamurjor Employee Info WordPress

Um atacante pode explorar essa vulnerabilidade induzindo um administrador do WordPress a clicar em um link malicioso ou visitar uma página comprometida. Ao fazer isso, o atacante pode executar ações administrativas em nome do administrador, sem o seu conhecimento ou consentimento. Isso pode levar à criação de registros de funcionários falsos, modificação de informações existentes ou exclusão de dados críticos. O impacto potencial inclui a corrupção de dados, comprometimento da integridade do sistema e possível roubo de informações confidenciais, dependendo do tipo de dados armazenados no plugin. A ausência de validação adequada de nonce torna o plugin suscetível a ataques XSRF, permitindo que um atacante manipule as requisições do lado do servidor.

WordPress sites utilizing the Mamurjor Employee Info plugin, particularly those managing sensitive employee data or with limited security controls, are at risk. Shared hosting environments where multiple websites share the same server resources are also at increased risk, as a compromise on one site could potentially impact others.

• wordpress / composer / npm:

grep -r 'admin.php' /var/www/html/wp-content/plugins/mamurjor-employee-info/

• wordpress / composer / npm:

wp plugin list --status=inactive | grep mamurjor-employee-info

• wordpress / composer / npm:

wp plugin list | grep mamurjor-employee-info

1. 2026-01-07Disclosure

   disclosure

1. Reservado2025-12-03
2. Publicada2026-01-07
3. Modificada2026-04-08
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o plugin Mamurjor Employee Info para a versão corrigida, assim que estiver disponível. Enquanto a atualização não estiver disponível, considere implementar medidas de proteção adicionais. Uma possível medida é restringir o acesso às funções administrativas do plugin, limitando o número de usuários com permissões elevadas. Além disso, implementar um Web Application Firewall (WAF) com regras para detectar e bloquear requisições XSRF pode ajudar a mitigar o risco. Monitore os logs do WordPress em busca de atividades suspeitas, como requisições não autorizadas para as funções administrativas do plugin.