Fuente base de datos: Wordfence Intelligence

ELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.0 - Missing Authorization to Authenitcated (Subscriber+) to Scheduled Trigger Deletion

PLUGIN MEDIUM CVE-2025-12169

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de nivel medio en el plugin ELEX WordPress HelpDesk & Customer Ticketing System, que permite la eliminación no autorizada de desencadenadores programados por usuarios autenticados con rol de Suscriptor o superior. Esta vulnerabilidad afecta a las versiones hasta la 3.3.0 y ha sido corregida en la versión 3.3.1.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización adecuados, lo que permite a usuarios con permisos limitados realizar acciones que deberían estar restringidas. Esto afecta a la superficie de ataque al permitir que usuarios no privilegiados manipulen configuraciones críticas del sistema.

Impacto potencial

El impacto potencial incluye la posibilidad de que usuarios malintencionados eliminen desencadenadores programados, lo que podría interrumpir el funcionamiento del sistema de soporte y afectar la experiencia del cliente. Esto podría resultar en pérdidas económicas y daños a la reputación de la empresa.

Vector de explotación

La explotación de esta vulnerabilidad se puede llevar a cabo mediante el acceso a la interfaz de administración del plugin, donde un usuario autenticado con rol de Suscriptor o superior podría intentar eliminar desencadenadores programados sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.3.1 o superior. Además, se sugiere revisar los permisos de usuario y aplicar principios de mínimo privilegio para limitar las acciones de los usuarios autenticados.

Señales de detección

Señales de riesgo incluyen intentos de eliminación de desencadenadores programados por usuarios con permisos inusuales o registros de actividad sospechosa en el sistema de soporte.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.3.1 del plugin ELEX WordPress HelpDesk & Customer Ticketing System.