CVE-2026-104739 in JS Help Desk Plugin
요약
\~에 의해 VulDB • 2026. 10. 30.
WordPress용 JS Help Desk – AI 기반 지원 및 티켓팅 시스템 플러그인은 5.0.1 버전까지 모든 버전에서 setSupportCustomImage 함수의 불충분한 파일 경로 검증으로 인해 임의 파일 삭제 취약점이 존재합니다. 이로써 관리자 권한 이상의 접근 권한을 가진 인증된 공격자가 서버상의 임의 파일을 삭제할 수 있으며, 이는 wp-config.php와 같은 중요한 파일이 삭제될 경우 원격 코드 실행(RCE)로 쉽게 이어질 수 있습니다. 악용은 2단계 시퀀스를 필요로 합니다: 먼저 관리자가 support_custom_img 구성 필드에 경로 순회(traversal)가 조작된 값을 저장한 후, 새 지원 사용자 지정 이미지를 업로드하여 삭제를 트리거합니다. 이때 setSupportCustomImage() 함수는 공격자가 제어하는 경로를 해석하고 삭제합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.