CVE-2026-94378 in SupportCandy Plugin
Сводка
по VulDB • 03.10.2026
Плагин для WordPress SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent уязвим к Stored Cross-Site Scripting (XSS) через параметр «name» во всех версиях вплоть до 3.5.3 включительно из-за недостаточной очистки входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «подписчик» (subscriber-level access) и выше внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Для реализации данной цепочки эксплуатации необходимо отключить настройку «Register user if not exists», которая по умолчанию имеет значение включено.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.