CVE-2026-114630 Borrado arbitrario de archivos no autenticado en ELEX WordPress HelpDesk hasta 3.3.8
La falta de validación de rutas en factory_reset permite a atacantes no autenticados borrar archivos arbitrarios del servidor mediante el parámetro ticket_attachment_path, lo que puede derivar en ejecución remota de código si se elimina un archivo crítico como wp-config.php. La explotación encadena el envío de un ticket por el endpoint AJAX eh_crm_new_ticket_post y una petición GET a wsdesk_factory_reset.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/111,3 % · percentil 71
- Explotada activamenteNo confirmada
- Exploit públicoSí, 1
Afectados
elextensions ELEX WordPress HelpDesk & Customer Ticketing System
hasta 3.3.8
Qué hacer
- Verificá si usás ELEX WordPress HelpDesk & Customer Ticketing System y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
- Priorizá la corrección: hay código de explotación público.
Exploits públicos
Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The ELEX WordPress HelpDesk & Customer Ticketing System plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the factory_reset function in all versions up to, and including, 3.3.8 This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This vulnerability is exploitable via a two-step chain: an unauthenticated attacker first stores an arbitrary ticket_attachment_path value by submitting a ticket through the nopriv eh_crm_new_ticket_post AJAX endpoint (whose nonce is publicly exposed via the [wsdesk_support] shortcode), then triggers the factory_reset routine via a GET request to wp-admin/admin.php?page=wsdesk_factory_reset, which is guarded only by is_admin() — a request-type check — rather than a capability check, causing unlink() to be called on the attacker-supplied path.
Referencias (7)
- www.wordfence.com/threat-intel/vulnerabilities/id/2151249a-8e7a-4c7b-89ff-5058942368fb?so…
- plugins.trac.wordpress.org/browser/elex-helpdesk-customer-support-ticket-system/tags/3.3…
- plugins.trac.wordpress.org/browser/elex-helpdesk-customer-support-ticket-system/tags/3.3…
- plugins.trac.wordpress.org/browser/elex-helpdesk-customer-support-ticket-system/tags/3.3…
- plugins.trac.wordpress.org/browser/elex-helpdesk-customer-support-ticket-system/tags/3.3…
- plugins.trac.wordpress.org/browser/elex-helpdesk-customer-support-ticket-system/tags/3.3…
- plugins.trac.wordpress.org/changeset/3775762/elex-helpdesk-customer-support-ticket-system…
Historial (2)
- VULNERABILIDADNueva vulnerabilidad detectada.
- EXPLOIT PÚBLICOSe publicó thiscitze/cve-2026-114630-poc.
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.