CVE-2024-7094
JS Help Desk – El plugin definitivo de help desk y soporte <= 2.8.6 - Inyección de código PHP no autenticada que permite ejecución remota de código
- Publicado
- 13 ago 2024
- Actualizado
- 8 abr 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HModerado · próximos 30 días
- Percentil
- 98,5 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El complemento JS Help Desk – The Ultimate Help Desk & Support Plugin para WordPress es vulnerable a la inyección de código PHP, lo que conduce a la ejecución remota de código en todas las versiones hasta la 2.8.6 incluida a través de la función 'storeTheme'. Esto se debe a una falta de desinfección de los valores proporcionados por el usuario, que reemplazan los valores en el archivo style.php, junto con comprobaciones de capacidad faltantes. Esto hace posible que atacantes no autenticados ejecuten código en el servidor. Este problema se solucionó parcialmente en 2.8.6 cuando se resolvió el problema de la inyección de código, y se solucionó completamente en 2.8.7 cuando se agregó la autorización faltante y la protección contra Cross-Site Request Forgery.
Fuentes
1- CVE-2024-7094Escáner
CVE-2024-7094 Verificador de vulnerabilidades
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.