CVE-2026-96268

ŚrednieCVSS 6.4

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 01/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin dla WordPress jest podatna na Stored Cross-Site Scripting (XSS) poprzez parametr 'gdpr-data' we wszystkich wersjach do 6.4.0 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na stronach, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Jest to wykorzystywane przez użytkowników na poziomie subskrybenta przeciwko innym kontom, ponieważ handlery AJAX akceptują dowolny identyfikator gdpr-user bez weryfikacji, czy należy do żądającego, a wymagany nonce wpas-gdpr-nonce jest emitowany przez wp_localize_script do każdego zalogowanego użytkownika na stronach wtyczki i na /wp-admin/profile.php.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaktualizuj wtyczkę Awesome Support do najnowszej wersji, która zawiera poprawki zabezpieczeń, oraz ogranicz dostęp do kont subskrybentów.

Inne podatności w Awesome Support – WordPress HelpDesk & Support Plugin

CVE-2026-4654Średnie
Wtyczka Awesome Support dla WordPressa do wersji 6.3.7 zawiera podatność na Insecure Direct Object Reference. Funkcja wpas_get_ticket_replies_ajax() nie sprawdza, czy uwierzytelniony użytkownik ma uprawnienia do przeglądania konkretnego zgłoszenia, co pozwala atakującym z dostępem subskrybenta lub wyższym na dostęp do wrażliwych informacji ze wszystkich zgłoszeń.

Oryginalny opis (angielski, źródło NVD)

The Awesome Support – WordPress HelpDesk & Support Plugin plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'gdpr-data' parameter in all versions up to, and including, 6.4.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable by Subscriber-level users against other accounts because the AJAX handlers accept an arbitrary gdpr-user ID without verifying it belongs to the requester, and the required wpas-gdpr-nonce is emitted via wp_localize_script to every logged-in user on frontend plugin pages and on /wp-admin/profile.php.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS