CVE-2026-15011

Nome do Software Vulnerável e Versões Afetadas Customer Support Ticket System & Helpdesk plugin for WordPress versões anteriores a 6.0.6

Descrição A Injeção de Código é possível devido ao uso de invocação dinâmica de função em um valor controlado por um invasor com validação insuficiente. Atacantes não autenticados podem invocar funções PHP arbitrárias sem parâmetros, o que pode interromper a funcionalidade do site ou expor informações sensíveis. Isso é alcançável através do parâmetro path. O nonce necessário é emitido publicamente via wp localize script quando o shortcode [emd form] é renderizado em qualquer página pública, permitindo que o endpoint seja acessado sem autenticação ou privilégios.

Recomendações Atualize o plugin Customer Support Ticket System & Helpdesk para WordPress para a versão 6.0.6 ou posterior.