CVE-2026-57652
ŚrednieCVSS 5.3Streszczenie
Podatność IDOR (Insecure Direct Object Reference) w wersjach JS Help Desk do 3.1.0 umożliwia nieuwierzytelnionemu atakującemu bezpośredni dostęp do obiektów, takich jak zgłoszenia czy dane klientów, poprzez manipulację parametrami w żądaniach.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego odczytu, modyfikacji lub usunięcia wrażliwych danych helpdesku bez konieczności logowania, co może prowadzić do wycieku informacji i naruszenia poufności.
Rekomendacja
Zaleca się natychmiastową aktualizację JS Help Desk do wersji nowszej niż 3.1.0 oraz wdrożenie mechanizmów autoryzacji i walidacji dostępu do obiektów.
Inne podatności w JS Help Desk <= 3.1.0
Zobacz wszystkie- CVE-2026-56054Wysokie
W wersjach JS Help Desk do 3.1.1 występuje podatność, która pozwala subskrybentom na dowolne usuwanie plików.
- CVE-2026-48886Krytyczne
Wersje JS Help Desk do 3.0.9 zawierają podatność na nieautoryzowaną injekcję SQL, co może umożliwić atakującym dostęp do danych w bazie.
- CVE-2026-15209Średnie
Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.5 nie weryfikuje, czy żądający użytkownik jest właścicielem ładowanego zgłoszenia: uwierzytelniony użytkownik z niskimi uprawnieniami może podać ID zgłoszenia innego użytkownika i odczytać jego zawartość, w tym dane osobowe reportera i treść wiadomości.
- CVE-2026-14931Średnie
Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.4 przyznaje rolę support-agent roli Contributor podczas aktywacji i nie przeprowadza kontroli uprawnień w handlerze listy użytkowników, umożliwiając użytkownikom z rolą Contributor wyliczenie adresów e-mail wszystkich zarejestrowanych użytkowników WordPress.
- CVE-2026-48887Średnie
Wersje JS Help Desk do 3.0.9 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Insecure Direct Object References (IDOR) in JS Help Desk <= 3.1.0 versions.