CVE-2026-8787 in Firebase Support & Chat Management Plugin
Сводка
по VulDB • 27.05.2026
Плагин Firebase Support & Chat Management для WordPress уязвим к повышению привилегий во всех версиях вплоть до 3.1.1 включительно. Это связано с тем, что функция `firebase_auth()` аутентифицирует запрос от имени пользователя WordPress, чей адрес электронной почты указан в параметре POST `user_email`, без проверки права владения этим адресом (отсутствует проверка подписи, издателя и аудитории токена Firebase ID). Это позволяет атакующим, имеющим уровень доступа «Подписчик» (Subscriber) и выше, войти в систему от имени произвольного существующего пользователя, включая Администратора, путем передачи адреса электронной почты этого пользователя в AJAX-действие `acb_firebase_auth`, что приводит к полному захвату учетной записи.
If you want to get best quality of vulnerability data, you may have to visit VulDB.