elextensions ELEX WordPress HelpDesk & Customer Ticketing System
ELEX WordPress HelpDesk: un utente non autenticato può cancellare file del server
Il problema, secondo i dati ufficiali
- Il plugin ELEX WordPress HelpDesk & Customer Ticketing System non controlla in modo sufficiente il percorso dei file nella funzione factory_reset. Questo permette di cancellare file arbitrari sul server, e la cancellazione di un file come wp-config.php può facilmente portare a esecuzione di codice da remoto.
- Può sfruttarla un attaccante non autenticato, senza account, in due passaggi. Prima invia un ticket tramite l'endpoint AJAX eh_crm_new_ticket_post, accessibile senza login (il suo nonce è esposto pubblicamente dallo shortcode [wsdesk_support]), e così salva un valore ticket_attachment_path a sua scelta.
- Poi richiama con una richiesta GET la pagina wp-admin/admin.php?page=wsdesk_factory_reset. Questa pagina è protetta solo da is_admin(), un controllo sul tipo di richiesta e non sui permessi, quindi unlink() viene eseguita sul percorso scelto dall'attaccante.
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- ELEX WordPress HelpDesk & Customer Ticketing System: fino alla 3.3.8 inclusa
Fonti ufficiali
- www.wordfence.com — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
Descrizione ufficiale (in inglese)
The ELEX WordPress HelpDesk & Customer Ticketing System plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the factory_reset function in all versions up to, and including, 3.3.8 This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This vulnerability is exploitable via a two-step chain: an unauthenticated attacker first stores an arbitrary ticket_attachment_path value by submitting a ticket through the nopriv eh_crm_new_ticket_post AJAX endpoint (whose nonce is publicly exposed via the [wsdesk_support] shortcode), then triggers the factory_reset routine via a GET request to wp-admin/admin.php?page=wsdesk_factory_reset, which is guarded only by is_admin() — a request-type check — rather than a capability check, causing unlink() to be called on the attacker-supplied path.
Non sai se ti riguarda?
Se usi elextensions ELEX WordPress HelpDesk & Customer Ticketing System e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 6 novembre 2026. Prima di intervenire verifica l'avviso del produttore.