CVE-2026-48964

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na dowolne przesyłanie plików we wszystkich wersjach do 3.3.7 włącznie poprzez funkcję initMailPart. Wynika to z niewystarczającej walidacji typu pliku podczas zapisywania załączników e-mail IMAP, co umożliwia nieuwierzytelnionym atakującym przesłanie plików wykonywalnych i zdalne wykonanie kodu.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa do wersji 3.3.1 włącznie jest podatna na dowolne przesyłanie plików z powodu braku walidacji typów plików w funkcji eh_crm_new_ticket_post(). Umożliwia to nieuwierzytelnionym atakującym przesyłanie dowolnych plików na serwer, co może prowadzić do zdalnego wykonania kodu.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPress jest podatna na eskalację uprawnień we wszystkich wersjach do 3.3.2 włącznie. Wynika to z braku kontroli autoryzacji w akcji AJAX eh_crm_edit_agent, co umożliwia uwierzytelnionym atakującym z poziomem dostępu Contributor lub wyższym eskalację uprawnień WSDesk z ograniczonych uprawnień „Reply Tickets” do pełnych uprawnień administratora helpdesku, uzyskując nieautoryzowany dostęp do zarządzania zgłoszeniami, konfiguracji ustawień, administracji agentami i poufnych danych klientów.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPress jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 3.2.9 włącznie poprzez 'eh_crm_ticket_single_view_client' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu subskrybenta i wyższym odczyt zawartości wszystkich zgłoszeń wsparcia.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w akcji AJAX 'wp_ajax_eh_crm_settings_empty_scheduled_actions' we wszystkich wersjach do 3.3.0 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej wyczyszczenie opcji zaplanowanych wyzwalaczy.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji 'eh_crm_settings_empty_trash' we wszystkich wersjach do 3.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym opróżnienie kosza z biletami.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji eh_crm_restore_data() we wszystkich wersjach do 3.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym przywracanie biletów.

Wtyczka ELEX WordPress HelpDesk & Customer Ticketing System dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym AJAX 'eh_crm_settings_restore_trash' we wszystkich wersjach do 3.3.1 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber i wyżej przywrócenie wszystkich usuniętych biletów.