CVE-2025-11456
KrytyczneStreszczenie
Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa do wersji 3.3.1 włącznie jest podatna na dowolne przesyłanie plików z powodu braku walidacji typów plików w funkcji eh_crm_new_ticket_post(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu na serwerze, co może prowadzić do pełnego przejęcia witryny, kradzieży danych lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji, która zawiera poprawkę, oraz ograniczenie możliwości przesyłania plików tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The ELEX WordPress HelpDesk & Customer Ticketing System plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the eh_crm_new_ticket_post() function in all versions up to, and including, 3.3.1. This makes it possible for unauthenticated attackers to upload arbitrary files on the affected site's server which may make remote code execution possible.