CVE-2024-7094: JS Help Desk – 究極のヘルプデスク＆サポートプラグイン <= 2.8.6 - 未認証のPHPコードインジェクションによるリモートコード実行 | Kitploit

CVE-2024-7094

重大公開済み

JS Help Desk – 究極のヘルプデスク＆サポートプラグイン <= 2.8.6 - 未認証のPHPコードインジェクションによるリモートコード実行

公開済み: 2024/08/13
更新済み: 2026/04/08
CNA の割り当て: Wordfence
観察された証拠: 2026/08/08

プライマリ CVSS

9.8/ 10重大

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

37.6%

中 · 今後 30 日間

パーセンタイル: 98.5%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

The JS Help Desk – The Ultimate Help Desk & Support Plugin WordPressプラグインは、バージョン2.8.6以前の全バージョンにおいて、'storeTheme'関数を介したPHPコードインジェクションによるリモートコード実行に対して脆弱です。これは、style.phpファイル内の値を置き換える際に、ユーザーが提供した値に対するサニタイズ処理が欠如していることと、権限チェックが欠落していることが原因です。これにより、認証されていない攻撃者がサーバー上でコードを実行することが可能になります。この問題は、コードインジェクションの問題が解決された2.8.6で部分的に修正され、認可とクロスサイトリクエストフォージェリ保護が追加された2.8.7で完全に修正されました。CVE-2024-43274は、この問題の重複である可能性があります。

ソース

CVE-2024-7094スキャナー
CVE-2024-7094 脆弱性チェッカー

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。