CVE-2025-62025CVE-2025-62025是WordPress中一个严重的安全漏洞，影响eyecix公司开发的JobSearch插件（wp-jobsearch）。该插件是一款广泛应用于招聘网站建设的WordPress主题组件，帮助用户快速构建专业的招聘平台。漏洞类型为“不受信任数据的反序列化”（Deserialization of Untrusted Data），这意味着攻击者可以通过向应用程序提交恶意构造的序列化数据，在服务器端触发PHP对象反序列化操作，从而执行任意代码或进行进一步的攻击。CVSS评分高达9.8（满分10分），属于严重级别漏洞，表明此漏洞极易被利用且影响范围广泛。由于该插件在招聘网站中普遍使用，漏洞可能影响大量企业招聘网站和在线招聘平台的安全性。攻击者无需认证即可利用此漏洞，这意味着任何能够访问网站的用户都可能成为潜在攻击者。漏洞存在于JobSearch插件3.0.8之前的所有版本中，强烈建议所有使用该插件的用户立即采取补救措施。
该漏洞属于PHP对象注入（POP chain）类型的反序列化漏洞。在PHP应用程序中，反序列化函数（如unserialize()）如果处理来自用户输入的不可信数据，可能导致安全风险。攻击者可以通过构造包含恶意PHP对象序列化的字符串，当应用程序反序列化这些数据时，会触发对象的__wakeup()、__destruct()等魔术方法的自动调用。JobSearch插件中存在的反序列化漏洞允许未经身份验证的攻击者通过HTTP请求向目标服务器提交恶意构造的序列化对象。一旦服务器端代码对这些数据进行反序列化处理，攻击者可以利用PHP的POP链机制调用任意类的方法，可能导致远程代码执行（RCE）。典型的利用方式包括：1) 寻找应用程序中存在的危险函数调用链；2) 构造特定的PHP对象触发代码执行；3) 通过文件操作函数实现webshell写入或系统命令执行。由于该漏洞无需认证即可利用，攻击者可以直接通过互联网发起攻击，对受影响系统造成严重威胁。