CVE-2026-103370
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'wpas_files' we wszystkich wersjach do 6.4.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej custom-level może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność jest wykorzystywana tylko wtedy, gdy włączone jest ustawienie "Enable drag-n-drop uploader for ticket form", które domyślnie jest wyłączone.
Ocena ryzyka
Atakujący z odpowiednimi uprawnieniami może trwale zainfekować strony złośliwym skryptem, który wykona się w przeglądarce użytkowników, w tym personelu obsługi, co może prowadzić do kradzieży sesji. Ryzyko występuje tylko w instalacjach, w których włączono opcję przesyłania plików metodą drag-n-drop.
Rekomendacja
Zaktualizuj wtyczkę Awesome Support do wersji nowszej niż 6.4.1, gdy tylko będzie dostępna, i ogranicz uprawnienia użytkowników mogących przesyłać pliki. Jeśli opcja drag-n-drop nie jest potrzebna, pozostaw ją wyłączoną.
Inne podatności w Awesome Support
Zobacz wszystkie- CVE-2026-96820Wysokie
Wtyczka Awesome Support w wersjach do 6.3.9 włącznie zawiera podatność Cross Site Scripting (XSS). Może ją wykorzystać użytkownik z uprawnieniami subskrybenta.
- CVE-2026-19946Średnie
Wtyczka Awesome Support dla WordPressa do wersji 6.3.9 włącznie ma brak kontroli autoryzacji w funkcji wpas_do_mr_deny_user(). Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą ustawić flagę mr_user_denied na dowolnym koncie użytkownika, w tym administratora, blokując ich aktywację i wysyłając im e-mail z odmową.
Oryginalny opis (angielski, źródło NVD)
The Awesome Support – WordPress HelpDesk & Support Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'wpas_files' parameter in all versions up to, and including, 6.4.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability is only exploitable when the "Enable drag-n-drop uploader for ticket form" setting is enabled, as it is disabled by default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS