Veille sécuritéCMS & e-commerce
P3Critique
Le plugin ELEX WordPress HelpDesk & Customer Ticketing System présente une validation insuffisante du type des pièces jointes IMAP enregistrées. Un attaquant non authentifié pourrait téléverser un fichier exécutable et, selon la configuration, parvenir à une exécution de code à distance.
WordPress
IdentifiantCVE-2026-103768
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-103768
Analyse technique
La faille concerne la fonction initMailPart et la validation des fichiers joints lors de l’enregistrement des pièces jointes IMAP.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-16, dans la période demandée; l’information retenue est la vulnérabilité décrite, et non la seule date de modification de la fiche.
ImpactTéléversement non authentifié de fichiers potentiellement exécutables, pouvant mener à une exécution de code à distance.
Versions affectéesToutes les versions jusqu’à 3.3.7 incluse
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.8
EPSS0,58% · percentile 46,4%
Publication2026-10-16T06:17:03.060Z
Mise à jour2026-10-16T15:17:02.553Z
Action recommandée
Mettre à jour le plugin vers une version corrigée dès qu’elle est disponible; en attendant, désactiver la fonctionnalité concernée si possible.
Sources
Priorisation DFS : P3 · 1 source(s).