CVE-2026-54826
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka SupportCandy w wersji 3.4.6 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) dla subskrybentów. Umożliwia to nieautoryzowany dostęp do danych innych użytkowników.
Ocena ryzyka
Organizacja narażona jest na wyciek poufnych danych zgłoszeń wsparcia technicznego, co może naruszyć prywatność klientów i zasady compliance.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę SupportCandy do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w SupportCandy
Zobacz wszystkie- CVE-2026-94539Średnie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na czasową iniekcję SQL przez parametr 'sort_by'. Uwierzytelnieni atakujący z odpowiednimi uprawnieniami mogą modyfikować zapytania SQL i wyciągać wrażliwe dane z bazy.
- CVE-2026-94378Średnie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na trwały atak XSS przez parametr 'name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać skrypty, które wykonają się po otwarciu strony przez użytkownika.
- CVE-2026-81022Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie weryfikuje przesłanego kodu autoryzacji dla danego biletu przed ujawnieniem prawdziwego kodu żądającemu, co pozwala nieuwierzytelnionym użytkownikom na odczytanie treści dowolnego biletu wsparcia.
- CVE-2026-81021Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie przeprowadza kontroli autoryzacji na jednej ze ścieżek pobierania załączników do biletów wsparcia, co pozwala nieuwierzytelnionym atakującym na odczytanie chronionych załączników przesłanych przez klientów poprzez enumerację sekwencyjnych identyfikatorów załączników.
- CVE-2026-73350Wysokie
Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.
- CVE-2026-57711Średnie
Wtyczka SupportCandy dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) w wersjach do 3.4.8 włącznie. Luka wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.
Oryginalny opis (angielski, źródło NVD)
Subscriber Insecure Direct Object References (IDOR) in SupportCandy <= 3.4.6 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS