CVE-2026-114630: Cancellazione Arbitraria nel Plugin ELEX HelpDesk

CVE-2026-114630 riguarda il plugin WordPress ELEX HelpDesk & Customer Ticketing System in tutte le versioni fino alla 3.3.8. La vulnerabilità risiede nella funzione factory_reset che non valida correttamente i percorsi dei file, permettendo a un attaccante non autenticato di eliminare file arbitrari dal server. Un'eliminazione mirata di file critici come wp-config.php può condurre a esecuzione remota di codice e compromissione totale del sito.

La vulnerabilità ha CVSS 9,1 (critical). È stata segnalata il 6 novembre 2026 con prove di concetto pubblicamente disponibili in repository online. La falla è sfruttabile senza autenticazione tramite una catena di due richieste: un attaccante invia un ticket con un percorso arbitrario via AJAX eh_crm_new_ticket_post (il nonce è esposto dallo shortcode [wsdesk_support]), poi attiva factory_reset. Il controllo di protezione usa solo is_admin() senza verifiche di capability reali.

I sysadmin e i team IT devono aggiornare immediatamente il plugin a una versione successiva alla 3.3.8, se disponibile. Nel frattempo, è essenziale verificare i log di accesso ai file di sistema per rilevare tentativi di eliminazione di file critici. Limitare l'accesso all'endpoint AJAX eh_crm_new_ticket_post e controllare i permessi dei file sul server sono misure difensive supplementari. Gli amministratori di siti WordPress dovrebbero anche monitorare la disponibilità di correzioni ufficiali dal team di sviluppo del plugin.