CVE-2026-19806 in Support Genix Plugin
Riassunto
di VulDB • 01/09/2026
Il plugin Support Genix – Helpdesk, AI Chatbot, Knowledge Base & Customer Support Ticketing System per WordPress è vulnerabile a un Authentication Bypass che porta all'Administrator Account Takeover in tutte le versioni fino alla 1.4.52 inclusa, tramite la funzione `guest_ticket_login()` e il suo parametro `p`. La vulnerabilità è dovuta al fatto che la chiave di crittografia AES-256-CBC utilizzata su tutto il sito viene derivata da soli tre valori a due cifre generati con `wp_rand(10, 99)` e da un timestamp Unix tramite `md5()`, producendo circa 19.5 bit di entropia; ciò è combinato con un IV (Initialization Vector) deterministico derivato dalla password, l'assenza di un authentication tag sul ciphertext e la mancanza di controlli sulle capacità, nonce o validazione della sessione sull'endpoint `/sgnix/?p=<token>` pubblicamente raggiungibile. Questo consente ad attaccanti autenticati, con accesso a livello di subscriber (sottoscrittore) o superiore, che possono ottenere un singolo token legittimo per i ticket degli ospiti come oracle known-plaintext e vincolare il timestamp di attivazione del plugin, di esaurire offline l'intero keyspace di circa 729.000 candidati, recuperare la chiave di crittografia su tutto il sito e forgiare un token `{ticket_id, ticket_user}` auto-consistente mirato a qualsiasi ticket di proprietà di un amministratore. L'invio del token forgia all'endpoint non protetto provoca l'esecuzione di `wp_set_auth_cookie()` per quell'amministratore, concedendo all'attaccante pieno accesso amministrativo al sito WordPress.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.