CVE-2026-14197
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Fluent Support dla WordPressa przed wersją 2.3.1 nie sprawdza dostępu do zgłoszenia przed zmianą przypisanego klienta. Ograniczony agent pomocy technicznej może zmienić przypisanego klienta dowolnego zgłoszenia w systemie, w tym zgłoszeń spoza swojego zakresu uprawnień.
Ocena ryzyka
Ryzyko naruszenia poufności i integralności zgłoszeń pomocy technicznej, a także potencjalne ujawnienie danych klientów.
Rekomendacja
Zaktualizuj wtyczkę Fluent Support do wersji 2.3.1 lub nowszej.
Inne podatności w Fluent Support
Zobacz wszystkie- CVE-2026-65470Średnie
Wtyczka Fluent Support w wersji 2.3.0 i starszych jest podatna na ataki XSS z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt.
- CVE-2026-94679Średnie
Wtyczka Fluent Support w wersjach do 2.3.2 włącznie zawiera podatność typu Broken Access Control, którą może wykorzystać użytkownik z rolą Subscriber. Błąd dotyczy niewłaściwej kontroli dostępu do funkcji wtyczki.
- CVE-2025-67926Średnie
Podatność braku autoryzacji w wtyczce Fluent Support firmy Shahjahan Jewel pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy Fluent Support w wersjach od n/a do <= 1.10.4.
Oryginalny opis (angielski, źródło NVD)
The Fluent Support WordPress plugin before 2.3.1 does not perform a per-ticket access check before reassigning a ticket's customer, allowing a restricted support agent to change the assigned customer of any ticket in the system, including tickets outside their granted scope.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS