CVE-2026-119077: Vulnerabilidade crítica no plugin ELEX WordPress HelpDesk

Introdução

Recentemente, foi identificada uma vulnerabilidade crítica no plugin ELEX WordPress HelpDesk & Customer Ticketing System. Esta falha pode permitir que atacantes não autenticados executem código no servidor, comprometendo a segurança das instalações afetadas.

O que aconteceu?

A vulnerabilidade reside na forma como o plugin lida com a deserialização de objetos PHP. Através do parâmetro 'ticket_label' no formulário, um atacante pode explorar a falta de autenticação do lado do servidor e a ausência de uma lista de classes permitidas, possibilitando a execução de código malicioso.

Como funciona a vulnerabilidade

A vulnerabilidade resulta da falta de validação adequada dos dados recebidos. O plugin emite um nonce publicamente em qualquer página que contenha o shortcode [wsdesk_support]. Um atacante pode realizar uma requisição GET anónima para recolher o valor do nonce e, em seguida, enviar uma requisição POST não autenticada para executar o código no servidor.

Qual é o impacto real?

O impacto desta vulnerabilidade é crítico, uma vez que permite a execução de código não autorizado no servidor. Isso pode levar a compromissos de dados, instalação de malware ou outras atividades maliciosas que afetam a integridade e a confidencialidade do sistema.

Que versões são afetadas?

• Todas as versões até 3.3.9

Como corrigir

1. Verifique a versão do plugin ELEX WordPress HelpDesk instalada no seu site.
2. Atualize para a versão mais recente do plugin, se disponível. Consulte o aviso do fabricante para confirmar a versão corrigida.
3. Considere desativar o plugin temporariamente até que a atualização seja realizada.

Mitigação enquanto não atualizas

Enquanto não for possível atualizar, recomenda-se desativar o shortcode [wsdesk_support] nas páginas públicas para evitar a exploração da vulnerabilidade.

Conclusão

A vulnerabilidade CVE-2026-119077 no plugin ELEX WordPress HelpDesk representa um risco significativo para a segurança de sites WordPress. É essencial que os utilizadores do plugin tomem medidas imediatas para corrigir a falha e proteger os seus sistemas.