ELEX WordPress HelpDesk & Customer Ticketing System jusqu’à la version 3.3.8 incluse permet la suppression arbitraire de fichiers, avec une chaîne d’exploitation décrite comme accessible sans authentification. La suppression de fichiers critiques, notamment wp-config.php, peut conduire à une compromission du serveur; mettre à jour dès qu’un correctif est disponible et limiter l’exposition du plugin.
Source : NVD — CVE-2026-114630
Analyse technique
Un attaquant peut d’abord enregistrer un chemin de pièce jointe via l’endpoint AJAX de création de ticket, puis déclencher la routine factory_reset. Le contrôle décrit repose sur is_admin() plutôt que sur une vérification de capacité.
Impact, versions et correctif
Action recommandée
Mettre à jour le plugin dès qu’un correctif est disponible; à défaut, désactiver le plugin ou restreindre son exposition jusqu’à correction.
Sources
Priorisation DFS : P3 · 1 source(s).