CVE-2026-57652
ŚrednieCVSS 5.3Streszczenie
Podatność IDOR (Insecure Direct Object Reference) w wersjach JS Help Desk do 3.1.0 umożliwia nieuwierzytelnionemu atakującemu bezpośredni dostęp do obiektów, takich jak zgłoszenia czy dane klientów, poprzez manipulację parametrami w żądaniach.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanego odczytu, modyfikacji lub usunięcia wrażliwych danych helpdesku bez konieczności logowania, co może prowadzić do wycieku informacji i naruszenia poufności.
Rekomendacja
Zaleca się natychmiastową aktualizację JS Help Desk do wersji nowszej niż 3.1.0 oraz wdrożenie mechanizmów autoryzacji i walidacji dostępu do obiektów.
Inne podatności w JS Help Desk <= 3.1.0
Zobacz wszystkie- CVE-2026-56054Wysokie
W wersjach JS Help Desk do 3.1.1 występuje podatność, która pozwala subskrybentom na dowolne usuwanie plików.
- CVE-2026-48886Krytyczne
Wersje JS Help Desk do 3.0.9 zawierają podatność na nieautoryzowaną injekcję SQL, co może umożliwić atakującym dostęp do danych w bazie.
- CVE-2026-103079Średnie
Wtyczka JS Help Desk do WordPressa zawiera podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika, co pozwala wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu. Problem dotyczy wersji do 4.0.0 włącznie.
- CVE-2026-103078Średnie
Podatność wtyczki JS Help Desk (js-support-ticket) do wersji 4.0.0 umożliwia obejście autoryzacji poprzez klucz kontrolowany przez użytkownika. Atakujący może wykorzystać nieprawidłowo skonfigurowane poziomy kontroli dostępu.
- CVE-2026-15209Średnie
Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.5 nie weryfikuje, czy żądający użytkownik jest właścicielem ładowanego zgłoszenia: uwierzytelniony użytkownik z niskimi uprawnieniami może podać ID zgłoszenia innego użytkownika i odczytać jego zawartość, w tym dane osobowe reportera i treść wiadomości.
- CVE-2026-14931Średnie
Wtyczka JS Help Desk dla WordPressa przed wersją 3.1.4 przyznaje rolę support-agent roli Contributor podczas aktywacji i nie przeprowadza kontroli uprawnień w handlerze listy użytkowników, umożliwiając użytkownikom z rolą Contributor wyliczenie adresów e-mail wszystkich zarejestrowanych użytkowników WordPress.
- CVE-2026-48887Średnie
Wersje JS Help Desk do 3.0.9 zawierają lukę w kontroli dostępu, która pozwala na nieautoryzowany dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Insecure Direct Object References (IDOR) in JS Help Desk <= 3.1.0 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS