CVE-2026-48886

Podatność IDOR (Insecure Direct Object Reference) w wersjach JS Help Desk do 3.1.0 umożliwia nieuwierzytelnionemu atakującemu bezpośredni dostęp do obiektów, takich jak zgłoszenia czy dane klientów, poprzez manipulację parametrami w żądaniach.

W wersjach JS Help Desk do 3.1.1 występuje podatność, która pozwala subskrybentom na dowolne usuwanie plików.

Wtyczka JS Help Desk do WordPressa zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 4.0.0 włącznie.

Podatność wtyczki JS Help Desk (js-support-ticket) do wersji 4.0.0 umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Atakujący może wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu.

Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.5 nie weryfikuje, czy żądający użytkownik jest właścicielem ładowanego zgłoszenia: uwierzytelniony użytkownik z niskimi uprawnieniami może podać ID zgłoszenia innego użytkownika i odczytać jego zawartość, w tym dane osobowe reportera i treść wiadomości.

Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.4 przyznaje rolę support-agent roli Contributor podczas aktywacji i nie przeprowadza kontroli uprawnień w handlerze listy użytkowników, umożliwiając użytkownikom z rolą Contributor wyliczenie adresów e-mail wszystkich zarejestrowanych użytkowników WordPress.

Wersje JS Help Desk do 3.0.9 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp do zasobów.