ELEX WordPress HelpDesk: Nicht authentifizierter beliebiger Datei-Upload per IMAP

Zusammenfassung

Das Plugin ELEX WordPress HelpDesk & Customer Ticketing System prüft bis einschliesslich Version 3.3.7 die Dateitypen von E-Mail-Anhängen, die per IMAP abgerufen werden, nicht ausreichend. Ein nicht authentifizierter Angreifer kann dadurch potenziell ausführbare Dateien auf die WordPress-Website hochladen, was Remote Code Execution ermöglichen kann. Der CVSS-Wert liegt bei 9.8 (kritisch); die genauen Auslösebedingungen, etwa ob die IMAP-Übernahme aktiviert sein muss, sind nicht vollständig bestätigt.

Betroffen

• ELEX WordPress HelpDesk & Customer Ticketing System, alle Versionen bis einschliesslich 3.3.7

Behoben in

• Version 3.3.8 (gemäss Trac-Changeset und Sekundärquellen; gegen den Hersteller- oder Wordfence-Eintrag prüfen)

Umgehung

• Unbekannt. Keine Workaround-Massnahme des Herstellers gefunden.
• Die IMAP-Postfachübernahme deaktivieren, bis das Plugin aktualisiert ist (eigene Empfehlung, nicht aus einer Quelle).
• PHP-Ausführung in Upload-Verzeichnissen auf Webserver-Ebene einschränken.

Ausnutzung

• Bisher keine bestätigte Ausnutzung in freier Wildbahn bekannt.
• Nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.

Unsere Empfehlung

• Die Plugin-Version auf jeder WordPress-Website prüfen und auf 3.3.8 oder neuer aktualisieren.
• Falls das Plugin nicht aktualisiert werden kann, entfernen.
• wp-content/uploads und Plugin-Verzeichnisse auf unerwartete oder kürzlich hinzugefügte PHP- oder andere ausführbare Dateien prüfen.
• Websites mit einer betroffenen Version und aktivierter IMAP-Übernahme bis zur Prüfung als möglicherweise kompromittiert betrachten.
• Die Historie von Upload-Schwachstellen des Plugins beachten und andere ungepatchte Probleme auf älteren Installationen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry www.wordfence.com
• Trac changeset of Mailbox.php (fix) plugins.trac.wordpress.org
• Trac changeset comparing 3.3.7 and 3.3.8 plugins.trac.wordpress.org
• Threatint CVE record and timeline cve.threatint.com
• Strix CVE analysis www.strix.ai
• Patchstack: earlier arbitrary file upload (3.2.7) patchstack.com
• WPScan plugin page wpscan.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:43.