CVE-2026-96820
WysokieCVSS 7.1Streszczenie
Wtyczka Awesome Support w wersjach do 6.3.9 włącznie zawiera podatność Cross Site Scripting (XSS). Może ją wykorzystać użytkownik z uprawnieniami subskrybenta.
Ocena ryzyka
Subskrybent może wstrzyknąć złośliwy skrypt, który zostanie wykonany w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub danych.
Rekomendacja
Zaktualizuj wtyczkę Awesome Support do wersji nowszej niż 6.3.9. Rozważ wdrożenie WAF filtrującego próby XSS.
Inne podatności w Awesome Support
Zobacz wszystkie- CVE-2026-103370Średnie
Wtyczka Awesome Support – WordPress HelpDesk & Support Plugin jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'wpas_files' we wszystkich wersjach do 6.4.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej custom-level może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Podatność jest wykorzystywana tylko wtedy, gdy włączone jest ustawienie "Enable drag-n-drop uploader for ticket form", które domyślnie jest wyłączone.
- CVE-2026-19946Średnie
Wtyczka Awesome Support dla WordPressa do wersji 6.3.9 włącznie ma brak kontroli autoryzacji w funkcji wpas_do_mr_deny_user(). Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą ustawić flagę mr_user_denied na dowolnym koncie użytkownika, w tym administratora, blokując ich aktywację i wysyłając im e-mail z odmową.
Oryginalny opis (angielski, źródło NVD)
Subscriber Cross Site Scripting (XSS) in Awesome Support <= 6.3.9 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS