一、 漏洞 CVE-2024-13873 基础信息
漏洞标题
WP Job Portal <= 2.2.8 版本存在已认证用户(Subscriber+)用户头像连接的不安全直接对象引用漏洞
来源：AIGC 神龙大模型
漏洞描述信息
WordPress插件WP Job Portal – A Complete Recruitment System for Company或Job Board网站在所有版本中（包括2.2.8版本）存在不安全直接对象引用漏洞。该漏洞源于deleteUserPhoto()函数中缺少对用户可控键值的验证，导致具有订阅者级别及以上访问权限的认证攻击者能够移除用户账户中的个人照片。请注意，这并不会正式删除文件。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
来源：AIGC 神龙大模型
漏洞类别
通过用户控制密钥绕过授权机制
来源：AIGC 神龙大模型
漏洞标题
WP Job Portal <= 2.2.8 - Insecure Direct Object Reference to Authenticated (Subscriber+) User Photo Disconnection
来源：美国国家漏洞数据库 NVD
漏洞描述信息
The WP Job Portal – A Complete Recruitment System for Company or Job Board website plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 2.2.8 via the deleteUserPhoto() function due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Subscriber-level access and above, to remove profile photos from users accounts. Please note that this does not officially delete the file.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
来源：美国国家漏洞数据库 NVD
漏洞类别
通过用户控制密钥绕过授权机制
来源：美国国家漏洞数据库 NVD
二、漏洞 CVE-2024-13873 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2024-13873 的情报信息