Fuente base de datos: Wordfence Intelligence

ELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.1 - Unauthenticated Arbitrary File Upload en Elex Helpdesk Customer Support Ticket System (subida arbitraria de archivos) - version 3.3.2

PLUGIN CRITICAL CVE-2025-11456

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin ELEX WordPress HelpDesk & Customer Ticketing System, que permite la carga arbitraria de archivos sin autenticación. Esta falla afecta a las versiones hasta la 3.3.1 y tiene un CVSS de 9.8.

Contexto técnico

La vulnerabilidad se origina en un fallo de control de acceso que permite a un atacante cargar archivos maliciosos en el servidor. Esto se debe a la falta de validación de la autenticidad del usuario, lo que expone la superficie de ataque a cualquier visitante no autenticado.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de código malicioso en el servidor, comprometiendo la integridad y disponibilidad del sistema. Esto puede llevar a la pérdida de datos sensibles y a un daño significativo a la reputación de la empresa.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes HTTP manipuladas que incluyen archivos maliciosos, permitiendo así su carga y ejecución en el servidor.

Mitigación recomendada

Actualizar el plugin ELEX WordPress HelpDesk & Customer Ticketing System a la versión 3.3.2 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de archivos subidos y la restricción de permisos en el servidor.

Señales de detección

Señales de posible explotación incluyen registros de intentos de carga de archivos inusuales o no autorizados, así como cambios inesperados en el sistema de archivos del servidor.

Alcance afectado

Las versiones del plugin ELEX WordPress HelpDesk & Customer Ticketing System hasta la 3.3.1 son vulnerables. Las instalaciones que no han actualizado a la versión 3.3.2 están en riesgo.

Vulnerabilidades relacionadas

HIGH PLUGIN

drag-and-drop-multiple-file-upload-contact-form-7

Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.6 - Unauthenticated Limited Arbitrary File Read via mfile Field

HIGH PLUGIN

drag-and-drop-multiple-file-upload-contact-form-7

Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.6 - Unauthenticated Arbitrary File Upload via Non-ASCII Filename Blacklist Bypass

HIGH PLUGIN

easy-appointments

Easy Appointments <= 3.12.21 - Unauthenticated Sensitive Information Exposure via REST API

MEDIUM PLUGIN

latepoint

LatePoint <= 5.3.2 - Insecure Direct Object Reference to Unauthenticated Sensitive Financial Data Exposure via Sequential Invoice ID

MEDIUM PLUGIN

fluentform

Fluent Forms – Customizable Contact Forms, Survey, Quiz, & Conversational Form Builder <= 6.1.21 - Insecure Direct Object Reference in Stripe SCA Confirmation to Unauthenticated Payment Status Modification

MEDIUM PLUGIN

riaxe-product-customizer

Riaxe Product Customizer <= 2.1.2 - Unauthenticated Arbitrary User Deletion via 'user_id' Parameter

MEDIUM PLUGIN

basic-google-maps-placemarks

Basic Google Maps Placemarks <= 1.10.7 - Missing Authorization to Unauthenticated Default Map Coordinate Update

CRITICAL THEME

webstack

WebStack <= 1.2024 - Unauthenticated Arbitrary File Upload

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto