🧨 O que aconteceu?
O plugin JobWP – Job Board, Job Listing, Career Page and Recruitment para WordPress está vulnerável a SQL Injection em todas as versões até 2.3.9. A falha permite que atacantes não autenticados injetem comandos SQL maliciosos através do parâmetro jobwp_upload_resume, comprometendo a integridade do banco de dados.
A vulnerabilidade foi registrada sob o código CVE-2025-2010.
📊 Detalhes Técnicos
- Tipo: SQL Injection (Injeção de SQL)
- Parâmetro Afetado:
jobwp_upload_resume - CVSS Score: 7.5 (Alto)
- Vetor CVSS:
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N - Divulgação Pública: 18 de abril de 2025
- Última Atualização: 19 de abril de 2025
- Pesquisador: stealthcopter
🔎 Como funciona o ataque?
A função de envio de currículos (jobwp_upload_resume) não realiza a devida sanitização ou preparação das entradas SQL. Com isso, um invasor pode:
- Injetar comandos SQL arbitrários
- Obter informações confidenciais do banco de dados (como e-mails, usuários, senhas criptografadas)
- Mapear a estrutura do banco
- Coletar dados para ataques futuros mais graves
🛡️ Solução disponível
✅ A vulnerabilidade foi corrigida na versão 2.4.0 do plugin.
⚠️ Se o seu site ainda está usando uma versão igual ou inferior a 2.3.9, atualize agora mesmo.
🧩 Ações recomendadas
- Atualize o plugin JobWP para a versão 2.4.0 ou superior.
- Verifique se há atividades suspeitas no banco de dados, como consultas incomuns ou exfiltração de dados.
- Implemente um firewall para aplicações web (WAF), como Wordfence ou Cloudflare.
- Realize um backup completo antes de qualquer ação corretiva.
- Monitore tentativas de ataque via logs e configure alertas em tempo real.
📘 O que é SQL Injection?
SQL Injection é uma das vulnerabilidades mais exploradas na web. Consiste em inserir comandos maliciosos em campos de formulários ou URLs para manipular o banco de dados da aplicação. Sites WordPress que não tratam corretamente entradas de usuário estão especialmente expostos.
📚 Fontes oficiais
🔒 Dica: vulnerabilidades como essa mostram a importância de manter todos os seus plugins atualizados. Use soluções de segurança confiáveis, e revise seu site periodicamente.
