CVE-2026-94539

Nome do Software Vulnerável e Versões Afetadas SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent versões anteriores a 3.5.4

Descrição Existe um problema onde a escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação em consultas SQL permitem que atacantes autenticados realizem SQL Injection baseada em tempo. Isso ocorre por meio do parâmetro sort by, permitindo que atacantes com acesso de nível personalizado ou superior anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. A exploração bem-sucedida requer que o atacante possua uma função de WordPress de nível Assinante (ou superior) e uma conta de Agente SupportCandy com a permissão 'Assign Agents' configurada.

Recomendações Atualize o SupportCandy – AI Customer Support Ticket System & Live Chatbot Agent para a versão 3.5.4 ou posterior. Como mitigação temporária, restrinja a permissão 'Assign Agents' para contas de Agente SupportCandy para minimizar o risco de exploração.