Plugin ELEX HelpDesk do WordPress permite apagar ficheiros do servidor sem autenticação
O plugin ELEX WordPress HelpDesk & Customer Ticketing System, até à versão 3.3.8, valida mal um caminho de ficheiro e permite a um atacante sem conta apagar ficheiros do servidor, o que pode levar a execução remota de código. CVSS 9,1.
- Identificador: CVE-2026-114630
- Publicado em: 2026-11-06
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 9.1 (CRITICAL)
Descrição (texto original em inglês):
The ELEX WordPress HelpDesk & Customer Ticketing System plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the factory_reset function in all versions up to, and including, 3.3.8 This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). (texto reduzido: os pormenores técnicos da exploração não são reproduzidos)
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1485, Destruição de dados (Data Destruction)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Técnica MITRE ATT&CK T1190attack.mitre.org
- Técnica MITRE ATT&CK T1485attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.