CVE-2026-114630
KrytyczneCVSS 9.1Streszczenie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System jest podatna na usuwanie dowolnych plików z powodu niewystarczającej walidacji ścieżki w funkcji factory_reset we wszystkich wersjach do 3.3.8 włącznie. Nieuwierzytelniony atakujący może usunąć dowolne pliki na serwerze, co może prowadzić do zdalnego wykonania kodu po usunięciu odpowiedniego pliku (np. wp-config.php). Podatność jest wykorzystywana w dwuetapowym łańcuchu: najpierw zapisanie wartości ticket_attachment_path przez publiczny endpoint AJAX, a następnie wywołanie resetu fabrycznego przez żądanie GET.
Ocena ryzyka
Możliwe usunięcie krytycznych plików konfiguracyjnych i potencjalne przejęcie serwera przez zdalne wykonanie kodu. Wysokie ryzyko dla poufności, integralności i dostępności.
Rekomendacja
Zaktualizować wtyczkę do wersji nowszej niż 3.3.8 lub ją wyłączyć. Ograniczyć dostęp do endpointów AJAX i panelu administracyjnego.
Inne podatności w ELEX WordPress HelpDesk & Customer Ticketing System
Zobacz wszystkie- CVE-2026-103768Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 3.3.7 włącznie poprzez funkcję initMailPart. Wynika to z niewystarczającej walidacji typu pliku podczas zapisywania załączników e-mail IMAP, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.
- CVE-2025-11456Krytyczne
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa do wersji 3.3.1 włącznie jest podatna na dowolne przesyłanie plików z powodu braku walidacji typów plików w funkcji eh_crm_new_ticket_post(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
- CVE-2026-48964Wysokie
W systemie ELEX WordPress HelpDesk i Customer Ticketing występuje podatność na atak typu SQL Injection w wersjach do 3.3.6. Atakujący może wykorzystać tę lukę do wykonania nieautoryzowanych zapytań do bazy danych.
- CVE-2025-13534Średnie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 3.3.2 włącznie. Wynika to z braku kontroli autoryzacji w akcji AJAX eh_crm_edit_agent, co umożliwia uwierzytelnionym atakującym z poziomem dostępu Contributor lub wyższym eskalację uprawnień WSDesk z ograniczonych uprawnień „Reply Tickets” do pełnych uprawnień administratora helpdesku, uzyskując nieautoryzowany dostęp do zarządzania zgłoszeniami, konfiguracji ustawień, administracji agentami i poufnych danych klientów.
- CVE-2025-10039Średnie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPress jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.2.9 włącznie poprzez 'eh_crm_ticket_single_view_client' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym odczyt zawartości wszystkich zgłoszeń wsparcia.
- CVE-2025-12169Średnie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'wp_ajax_eh_crm_settings_empty_scheduled_actions' we wszystkich wersjach do 3.3.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej wyczyszczenie opcji zaplanowanych wyzwalaczy.
- CVE-2025-12085Średnie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'eh_crm_settings_empty_trash' we wszystkich wersjach do 3.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym opróżnienie kosza z biletami.
- CVE-2025-12023Średnie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji eh_crm_restore_data() we wszystkich wersjach do 3.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym przywracanie biletów.
- CVE-2025-12022Średnie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'eh_crm_settings_restore_trash' we wszystkich wersjach do 3.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej przywrócenie wszystkich usuniętych biletów.
Oryginalny opis (angielski, źródło NVD)
The ELEX WordPress HelpDesk & Customer Ticketing System plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the factory_reset function in all versions up to, and including, 3.3.8 This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This vulnerability is exploitable via a two-step chain: an unauthenticated attacker first stores an arbitrary ticket_attachment_path value by submitting a ticket through the nopriv eh_crm_new_ticket_post AJAX endpoint (whose nonce is publicly exposed via the [wsdesk_support] shortcode), then triggers the factory_reset routine via a GET request to wp-admin/admin.php?page=wsdesk_factory_reset, which is guarded only by is_admin() — a request-type check — rather than a capability check, causing unlink() to be called on the attacker-supplied path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS