CVE-2026-57711
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka SupportCandy dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) w wersjach do 3.4.8 włącznie. Luka wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript do strony, który wykona się w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub wycieku danych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę SupportCandy do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, rozważ tymczasowe wyłączenie wtyczki.
Inne podatności w SupportCandy
Zobacz wszystkie- CVE-2026-94539Średnie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na czasową iniekcję SQL przez parametr 'sort_by'. Uwierzytelnieni atakujący z odpowiednimi uprawnieniami mogą modyfikować zapytania SQL i wyciągać wrażliwe dane z bazy.
- CVE-2026-94378Średnie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na trwały atak XSS przez parametr 'name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać skrypty, które wykonają się po otwarciu strony przez użytkownika.
- CVE-2026-81022Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie weryfikuje przesłanego kodu autoryzacji dla danego biletu przed ujawnieniem prawdziwego kodu żądającemu, co pozwala nieuwierzytelnionym użytkownikom na odczytanie treści dowolnego biletu wsparcia.
- CVE-2026-81021Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie przeprowadza kontroli autoryzacji na jednej ze ścieżek pobierania załączników do biletów wsparcia, co pozwala nieuwierzytelnionym atakującym na odczytanie chronionych załączników przesłanych przez klientów poprzez enumerację sekwencyjnych identyfikatorów załączników.
- CVE-2026-73350Wysokie
Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.
- CVE-2026-54826Wysokie
Wtyczka SupportCandy w wersji 3.4.6 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) dla subskrybentów. Umożliwia to nieautoryzowany dostęp do danych innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in PSM Plugins SupportCandy supportcandy allows Stored XSS.This issue affects SupportCandy: from n/a through <= 3.4.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS