CVE-2026-81022
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie weryfikuje przesłanego kodu autoryzacji dla danego biletu przed ujawnieniem prawdziwego kodu żądającemu, co pozwala nieuwierzytelnionym użytkownikom na odczytanie treści dowolnego biletu wsparcia.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji zawartych w biletach wsparcia, takich jak dane osobowe klientów, co może prowadzić do naruszenia prywatności i zaufania.
Rekomendacja
Zaktualizuj wtyczkę SupportCandy do wersji 3.5.3 lub nowszej, która zawiera poprawki weryfikacji kodów autoryzacji.
Inne podatności w SupportCandy
Zobacz wszystkie- CVE-2026-81021Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie przeprowadza kontroli autoryzacji na jednej ze ścieżek pobierania załączników do biletów wsparcia, co pozwala nieuwierzytelnionym atakującym na odczytanie chronionych załączników przesłanych przez klientów poprzez enumerację sekwencyjnych identyfikatorów załączników.
- CVE-2026-73350Wysokie
Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.
- CVE-2026-57711Średnie
Wtyczka SupportCandy dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) w wersjach do 3.4.8 włącznie. Luka wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.
- CVE-2026-54826Wysokie
Wtyczka SupportCandy w wersji 3.4.6 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) dla subskrybentów. Umożliwia to nieautoryzowany dostęp do danych innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The SupportCandy WordPress plugin before 3.5.3 does not validate a submitted per-ticket authorization code before disclosing the real code to the requester, allowing unauthenticated users to read the contents of any support ticket.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS