CVE-2026-14929
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie weryfikuje własności odpowiedzi w zgłoszeniu przed jej aktualizacją. Każdy zalogowany użytkownik (od roli Subskrybent wzwyż) może nadpisać treść dowolnej odpowiedzi w zgłoszeniu wsparcia.
Ocena ryzyka
Użytkownicy z niskimi uprawnieniami mogą modyfikować odpowiedzi wsparcia, co może prowadzić do dezinformacji lub ukrycia ważnych informacji.
Rekomendacja
Zaktualizuj wtyczkę JS Help Desk do wersji 3.1.4 lub nowszej, która sprawdza własność przed aktualizacją odpowiedzi.
Inne podatności w JS Help Desk WordPress plugin
Zobacz wszystkie- CVE-2026-14930Wysokie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie sprawdza autoryzacji ani własności w żądaniach przesyłania plików. Niezalogowani użytkownicy mogą przesyłać pliki (o dozwolonych rozszerzeniach) i dołączać je do zgłoszeń wsparcia dowolnych użytkowników.
- CVE-2026-14928Średnie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie sprawdza autoryzacji ani własności przed zwróceniem treści zgłoszenia w wyszukiwarce chronionej nonce. Każdy zalogowany użytkownik (od Subskrybenta wzwyż) może odczytać temat i pełną treść wiadomości wszystkich zgłoszeń innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The JS Help Desk WordPress plugin before 3.1.4 does not verify ownership of the targeted reply before updating it, allowing any authenticated user (Subscriber and above) to overwrite the content of any support-ticket reply on the site.