CVE-2021-24879 in SupportCandy Plugin

Zusammenfassung

von VulDB • 30.06.2026

Das WordPress-Plugin SupportCandy vor Version 2.2.7 verfügt über keine CSRF-Prüfung für die AJAX-Aktion wpsc_tickets und weist zudem keine Sanitisierung oder Escaping-Funktionen in einigen Filterfeldern auf, was Angreifern ermöglichen könnte, einen angemeldeten Benutzer mit Zugriff auf das Dashboard der Ticketlisten dazu zu bringen, einen beliebigen Filter (der in deren Cookies gespeichert wird) mit einem XSS-Payload einzurichten.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Reservieren: 14.01.2021
• Veröffentlichung: 07.02.2022
• Moderieren: akzeptiert
• Eintrag: VDB-192471
• CPE: bereit
• CWE: CWE-352 (bestätigt)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00612
• KEV: nein
• Aktivitäten: very low
• Sektor: Hostingprovider

Quellen

• MITRE: https://www.cve.org/CVERecord?id=CVE-2021-24879
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2021-24879
• CVE Details: https://www.cvedetails.com/cve/CVE-2021-24879/