CVE-2026-94378
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na trwały atak XSS przez parametr 'name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wstrzykiwać skrypty, które wykonają się po otwarciu strony przez użytkownika.
Ocena ryzyka
Ryzyko przejęcia sesji użytkowników, kradzieży danych lub rozprzestrzeniania złośliwego kodu w obrębie witryny.
Rekomendacja
Zaktualizuj wtyczkę SupportCandy do najnowszej wersji. Ogranicz uprawnienia użytkowników i regularnie przeglądaj treści wprowadzane przez subskrybentów.
Inne podatności w SupportCandy
Zobacz wszystkie- CVE-2026-94539Średnie
Wtyczka SupportCandy dla WordPressa do wersji 3.5.3 włącznie jest podatna na czasową iniekcję SQL przez parametr 'sort_by'. Uwierzytelnieni atakujący z odpowiednimi uprawnieniami mogą modyfikować zapytania SQL i wyciągać wrażliwe dane z bazy.
- CVE-2026-81022Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie weryfikuje przesłanego kodu autoryzacji dla danego biletu przed ujawnieniem prawdziwego kodu żądającemu, co pozwala nieuwierzytelnionym użytkownikom na odczytanie treści dowolnego biletu wsparcia.
- CVE-2026-81021Średnie
Wtyczka SupportCandy dla WordPressa przed wersją 3.5.3 nie przeprowadza kontroli autoryzacji na jednej ze ścieżek pobierania załączników do biletów wsparcia, co pozwala nieuwierzytelnionym atakującym na odczytanie chronionych załączników przesłanych przez klientów poprzez enumerację sekwencyjnych identyfikatorów załączników.
- CVE-2026-73350Wysokie
Nieuwierzytelniona podatność złamania uwierzytelniania w wtyczce SupportCandy w wersjach do 3.5.1.
- CVE-2026-57711Średnie
Wtyczka SupportCandy dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) w wersjach do 3.4.8 włącznie. Luka wynika z niewłaściwego neutralizowania danych wejściowych podczas generowania stron internetowych.
- CVE-2026-54826Wysokie
Wtyczka SupportCandy w wersji 3.4.6 i starszych zawiera podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) dla subskrybentów. Umożliwia to nieautoryzowany dostęp do danych innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'name' parameter in all versions up to, and including, 3.5.3 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This exploit chain requires the 'Register user if not exists' setting to be disabled, which is its default configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS