CVE-2026-94378 in SupportCandy Plugin
Sumário
de VulDB • 03/10/2026
O plugin SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'name' em todas as versões até 3.5.3, devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar a página contaminada. Esta cadeia de exploração requer que a configuração 'Register user if not exists' esteja desativada, o qual é seu padrão de configuração.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.