CVE-2026-14930
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie sprawdza autoryzacji ani własności w żądaniach przesyłania plików. Niezalogowani użytkownicy mogą przesyłać pliki (o dozwolonych rozszerzeniach) i dołączać je do zgłoszeń wsparcia dowolnych użytkowników.
Ocena ryzyka
Atakujący może zaśmiecić zgłoszenia wsparcia niechcianymi plikami, co może prowadzić do dezorganizacji pracy działu wsparcia i potencjalnego wycieku danych.
Rekomendacja
Zaktualizuj wtyczkę JS Help Desk do wersji 3.1.4 lub nowszej, która zawiera niezbędne mechanizmy autoryzacji.
Inne podatności w JS Help Desk WordPress plugin
Zobacz wszystkie- CVE-2026-14929Średnie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie weryfikuje własności odpowiedzi w zgłoszeniu przed jej aktualizacją. Każdy zalogowany użytkownik (od roli Subskrybent wzwyż) może nadpisać treść dowolnej odpowiedzi w zgłoszeniu wsparcia.
- CVE-2026-14928Średnie
Wtyczka JS Help Desk dla WordPress przed wersją 3.1.4 nie sprawdza autoryzacji ani własności przed zwróceniem treści zgłoszenia w wyszukiwarce chronionej nonce. Każdy zalogowany użytkownik (od Subskrybenta wzwyż) może odczytać temat i pełną treść wiadomości wszystkich zgłoszeń innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The JS Help Desk WordPress plugin before 3.1.4 does not perform any authorization, nonce, or ownership check on a front-end request dispatcher, allowing unauthenticated users to upload files (limited to the JS Help Desk WordPress plugin before 3.1.4's inert allowed extensions) and attach them to arbitrary users' support tickets.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS