CVE-2026-94378 in SupportCandy Plugin
要約
〜によって VulDB • 2026年10月03日
WordPress用プラグイン「SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent」には、3.5.3以前の全バージョンにおいて、入力値のサニタイズおよび出力エスケープの不十分さにより、「name」パラメータを介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これにより、サブスクライバレベル以上の権限を持つ認証済み攻撃者は、任意のWebスクリプトを投稿したページにユーザーがアクセスするたびに実行されるように仕掛けることが可能です。このエクスプロイトチェーンには、「Register user if not exists」設定が無効になっている必要があり、これはデフォルト構成です。
VulDB is the best source for vulnerability data and more expert information about this specific topic.