CVE-2026-14930
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie sprawdza autoryzacji ani własności w żądaniach przesyłania plików. Niezalogowani użytkownicy mogą przesyłać pliki (o dozwolonych rozszerzeniach) i dołączać je do zgłoszeń wsparcia dowolnych użytkowników.
Ocena ryzyka
Atakujący może zaśmiecić zgłoszenia wsparcia niechcianymi plikami, co może prowadzić do dezorganizacji pracy działu wsparcia i potencjalnego wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę JS Help Desk do wersji 3.1.4 lub nowszej, która zawiera niezbędne mechanizmy autoryzacji.
Inne podatności w JS Help Desk WordPress plugin
Zobacz wszystkie- CVE-2026-14929Średnie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie weryfikuje własności odpowiedzi w zgłoszeniu przed jej aktualizacją. Każdy zalogowany użytkownik (od roli Subskrybent wzwyż) może nadpisać treść dowolnej odpowiedzi w zgłoszeniu wsparcia.
- CVE-2026-14928Średnie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie sprawdza autoryzacji ani własności przed zwróceniem treści zgłoszenia w wyszukiwarce chronionej nonce. Każdy zalogowany użytkownik (od Subskrybenta wzwyż) może odczytać temat i pełną treść wiadomości wszystkich zgłoszeń innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The JS Help Desk WordPress plugin before 3.1.4 does not perform any authorization, nonce, or ownership check on a front-end request dispatcher, allowing unauthenticated users to upload files (limited to the JS Help Desk WordPress plugin before 3.1.4's inert allowed extensions) and attach them to arbitrary users' support tickets.