CVE-2026-104739 in JS Help Desk Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das WordPress-Plugin „JS Help Desk – AI-Powered Support & Ticketing System“ ist aufgrund unzureichender Pfadvalidierung in der Funktion `setSupportCustomImage` für alle Versionen bis einschließlich 5.0.1 anfällig für willkürliches Löschen von Dateien (Arbitrary File Deletion). Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff oder höher, beliebige Dateien auf dem Server zu löschen, was leicht zur Remote Code Execution (RCE) führen kann, wenn die richtige Datei gelöscht wird (z. B. wp-config.php). Die Ausnutzung erfordert eine zweiteilige Sequenz: Ein Administrator speist zunächst einen für Pfadtraversierung konzipierten Wert in das Konfigurationsfeld `support_custom_img` ein und löst dann durch Hochladen eines neuen benutzerdefinierten Support-Bildes die Löschung aus, wobei `setSupportCustomImage()` den vom Angreifer kontrollierten Pfad auflöst und löscht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.