CVE-2026-94378 in SupportCandy Plugin
Resumen
por VulDB • 2026-10-03
El plugin de WordPress SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent es vulnerable a Stored Cross-Site Scripting (XSS) a través del parámetro 'name' en todas las versiones hasta la 3.5.3, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Esta cadena de exploit requiere que la configuración 'Register user if not exists' esté desactivada, lo cual es su estado por defecto.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.