CVE-2026-103079
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka JS Help Desk do WordPressa zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 4.0.0 włącznie.
Ocena ryzyka
Osoba nieautoryzowana może uzyskać dostęp do funkcji lub danych, do których nie powinna mieć dostępu, co może prowadzić do naruszenia bezpieczeństwa lub nieautoryzowanych działań.
Rekomendacja
Zaktualizuj wtyczkę JS Help Desk do najnowszej wersji z poprawką. Przejrzyj również konfigurację uprawnień w WordPressie.
Inne podatności w JS Help Desk
Zobacz wszystkie- CVE-2026-57652Średnie
Podatność IDOR (Insecure Direct Object Reference) w wersjach JS Help Desk do 3.1.0 umożliwia nieuwierzytelnionemu atakującemu bezpośredni dostęp do obiektów, takich jak zgłoszenia czy dane klientów, poprzez manipulację parametrami w żądaniach.
- CVE-2026-56054Wysokie
W wersjach JS Help Desk do 3.1.1 występuje podatność, która pozwala subskrybentom na dowolne usuwanie plików.
- CVE-2026-48886Krytyczne
Wersje JS Help Desk do 3.0.9 zawierają podatność na nieautoryzowaną injekcję SQL, co może umożliwić atakującym dostęp do danych w bazie.
- CVE-2026-103078Średnie
Podatność wtyczki JS Help Desk (js-support-ticket) do wersji 4.0.0 umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Atakujący może wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu.
- CVE-2026-15209Średnie
Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.5 nie weryfikuje, czy żądający użytkownik jest właścicielem ładowanego zgłoszenia: uwierzytelniony użytkownik z niskimi uprawnieniami może podać ID zgłoszenia innego użytkownika i odczytać jego zawartość, w tym dane osobowe reportera i treść wiadomości.
- CVE-2026-14931Średnie
Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.4 przyznaje rolę support-agent roli Contributor podczas aktywacji i nie przeprowadza kontroli uprawnień w handlerze listy użytkowników, umożliwiając użytkownikom z rolą Contributor wyliczenie adresów e-mail wszystkich zarejestrowanych użytkowników WordPress.
- CVE-2026-48887Średnie
Wersje JS Help Desk do 3.0.9 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key vulnerability in Ahmad JS Help Desk js-support-ticket allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects JS Help Desk: from n/a through 4.0.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS