CVE-2026-73350
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.
Ocena ryzyka
Atakujący może ominąć mechanizmy uwierzytelniania, co może prowadzić do nieautoryzowanego dostępu do kont użytkowników lub danych wrażliwych.
Rekomendacja
Zaktualizuj wtyczkę SupportCandy do najnowszej wersji, która zawiera poprawkę bezpieczeństwa.
Inne podatności w SupportCandy
Zobacz wszystkie- CVE-2026-94539Średnie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na czasową iniekcję SQL przez parametr 'sort_by'. Uwierzytelnieni atakujący z odpowiednimi uprawnieniami mogą modyfikować zapytania SQL i wyciągać wrażliwe dane z bazy.
- CVE-2026-94378Średnie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na trwały atak XSS przez parametr 'name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać skrypty, które wykonają się po otwarciu strony przez użytkownika.
- CVE-2026-81022Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie weryfikuje przesłanego kodu autoryzacji dla danego biletu przed ujawnieniem prawdziwego kodu żądającemu, co pozwala nieuwierzytelnionym użytkownikom na odczytanie treści dowolnego biletu wsparcia.
- CVE-2026-81021Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie przeprowadza kontroli autoryzacji na jednej ze ścieżek pobierania załączników do biletów wsparcia, co pozwala nieuwierzytelnionym atakującym na odczytanie chronionych załączników przesłanych przez klientów poprzez enumerację sekwencyjnych identyfikatorów załączników.
- CVE-2026-57711Średnie
Wtyczka SupportCandy dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) w wersjach do 3.4.8 włącznie. Luka wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.
- CVE-2026-54826Wysokie
Wtyczka SupportCandy w wersji 3.4.6 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) dla subskrybentów. Umożliwia to nieautoryzowany dostęp do danych innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Authentication in SupportCandy <= 3.5.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS