Fuente base de datos: Wordfence Intelligence

SupportCandy – Helpdesk & Customer Support Ticket System <= 3.4.6 - Authenticated (Subscriber+) Insecure Direct Object Reference (Insecure Direct Object Reference (IDOR)) - version 3.4.7

PLUGIN MEDIUM CVE-2026-54826

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen técnico base

Esta ficha corresponde a una vulnerabilidad en supportcandy (tipo: plugin) con severidad reportada MEDIUM. Identificador CVE asociado: CVE-2026-54826. La corrección oficial está indicada a partir de la versión 3.4.7.

Recomendaciones inmediatas

Comprobar si el componente supportcandy está instalado y activo en producción.
Aplicar actualización o mitigación temporal en cuanto esté disponible.
Revisar registros de acceso y cambios recientes para detectar intentos de explotación.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

pressprimer-quiz

PressPrimer Quiz <= 2.3.0 - Insecure Direct Object Reference to Authenticated (Custom+) Arbitrary Modification via 'quiz_id', 'item_id', and 'rule_id' Parameters

LOW PLUGIN

userswp

UsersWP <= 1.2.63 - Insecure Direct Object Reference to Authenticated (Editor+) Arbitrary User Avatar/Banner Reset via 'user_id' Parameter

MEDIUM PLUGIN

static-block

Static Block <= 2.2 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Disclosure via Shortcode 'id' Attribute

MEDIUM PLUGIN

charitable

Charitable <= 1.8.11.1 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary Attachment Deletion via 'avatar' Parameter

MEDIUM PLUGIN

klamra-paycal-for-aspaclaria

Klamra Paycal for Aspaclaria <= 1.1.4 - Insecure Direct Object Reference to Authenticated (Subscriber+) Sensitive Information Exposure via 'invoice_id' Parameter

MEDIUM PLUGIN

mp-timetable

Timetable and Event Schedule by MotoPress <= 2.4.16 - Insecure Direct Object Reference to Authenticated (Contributor+) Sensitive Information Exposure via action_get_event_data Function

MEDIUM PLUGIN

display-a-meta-field-as-block

Meta Field Block <= 1.5.1 - Insecure Direct Object Reference to Authenticated (Contributor+) Arbitrary User Meta Exposure

MEDIUM PLUGIN

user-registration

User Registration & Membership <= 5.1.5 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrary Media Deletion via 'profile-pic-url' Parameter

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto