CVE-2026-19806 in Support Genix Plugin
Sumário
de VulDB • 01/09/2026
O plugin Support Genix – Helpdesk, AI Chatbot, Knowledge Base & Customer Support Ticketing System para o WordPress é vulnerável a Authentication Bypass (Burla de Autenticação), que leva à Administrator Account Takeover (Apropriação da Conta de Administrador) em todas as versões até 1.4.52, inclusive, através da função `guest_ticket_login()` e do seu parâmetro `p`. Isto deve-se ao facto de a chave de encriptação AES-256-CBC utilizada no site ser derivada apenas de três valores inteiros de dois dígitos gerados por `wp_rand(10, 99)` e de uma timestamp Unix através da função `md5()`, o que resulta em aproximadamente 19.5 bits de entropia; combinado com um IV (Vector de Inicialização) determinista derivado da palavra-passe, a ausência de tag de autenticação no ciphertext (texto cifrado), e a falta de verificação de capacidades, nonce ou validação de sessão no endpoint publicamente acessível `/sgnix/?p=<token>`. Isto permite que atacantes autenticados, com acesso nível subscriber (assinante) ou superior, que consigam obter um único token legítimo de ticket convidado como uma oracle de known-plaintext (texto conhecido), e que possam determinar a timestamp de ativação do plugin, esgotem o espaço de chaves de aproximadamente 729.000 candidatos totalmente offline, recuperem a chave de encriptação global do site e forjem um token `{ticket_id, ticket_user}` auto-consistente direcionado para qualquer ticket detido por um administrador. O envio deste token falsificado ao endpoint desprotegido provoca a chamada da função `wp_set_auth_cookie()`, concedendo ao atacante acesso administrativo total no site WordPress.
Once again VulDB remains the best source for vulnerability data.