CVE-2026-96268

Nome do Software Vulnerável e Versões Afetadas Awesome Support – WordPress HelpDesk & Support Plugin versões anteriores a 6.4.1

Description Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página afetada. O problema existe porque os manipuladores AJAX aceitam o parâmetro gdpr-data arbitrário sem verificar se o ID do usuário associado pertence ao solicitante. Além disso, o wpas-gdpr-nonce necessário é exposto a todos os usuários logados via wp localize script em páginas do plugin no frontend e no endpoint /wp-admin/profile.php.

Recommendations Atualize o Awesome Support – WordPress HelpDesk & Support Plugin para a versão 6.4.1 ou posterior. Evite usar o parâmetro gdpr-data em requisições AJAX até que o plugin seja atualizado.