Fuente base de datos: Wordfence Intelligence

ELEX WordPress HelpDesk & Customer Ticketing System <= 3.3.1 - Missing Authorization to Authenticated (Subscriber+) Trash Restore

PLUGIN MEDIUM CVE-2025-12022

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de nivel medio en el plugin ELEX WordPress HelpDesk & Customer Ticketing System, que permite a usuarios autenticados con rol de suscriptor o superior restaurar tickets eliminados sin la autorización adecuada. Esta falla afecta a las versiones hasta la 3.3.1 y fue corregida en la versión 3.3.2.

Contexto técnico

La vulnerabilidad radica en la falta de controles de autorización en el proceso de restauración de tickets eliminados. Esto permite que usuarios no autorizados puedan acceder a funcionalidades que deberían estar restringidas, exponiendo así la integridad de los datos del sistema de tickets.

Impacto potencial

Si se explota esta vulnerabilidad, un atacante podría restaurar tickets eliminados, lo que podría llevar a la manipulación de datos sensibles o a la creación de confusión en la gestión de tickets. Esto podría afectar la confianza de los usuarios en el sistema y causar problemas operativos.

Vector de explotación

Generalmente, la explotación ocurre cuando un usuario autenticado con rol de suscriptor intenta restaurar un ticket eliminado sin los permisos necesarios, aprovechando la falta de validación en el sistema.

Mitigación recomendada

Actualizar el plugin ELEX WordPress HelpDesk & Customer Ticketing System a la versión 3.3.2 o superior. Además, revisar y reforzar las políticas de autorización para todas las acciones relacionadas con la gestión de tickets.

Señales de detección

Monitorizar logs de acceso para identificar intentos inusuales de restauración de tickets por parte de usuarios con rol de suscriptor. También es recomendable revisar las actividades de los usuarios en el sistema para detectar comportamientos sospechosos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin ELEX WordPress HelpDesk & Customer Ticketing System hasta la 3.3.1. Las instalaciones que no han actualizado a la versión 3.3.2 están en riesgo.