CVE-2026-114630: Dateilöschung im ELEX WordPress HelpDesk
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Laut Wordfence betrifft CVE-2026-114630 das Plugin ELEX WordPress HelpDesk & Customer Ticketing System für WordPress bis einschließlich Version 3.3.8. Die Schwachstelle ermöglicht nicht authentifizierten Angreifenden das Löschen beliebiger Dateien auf dem Server. Wird eine dafür relevante Datei gelöscht, kann dies laut Wordfence eine Remote-Code-Ausführung ermöglichen. Version 3.3.9 vom 30. Oktober 2026 behebt die Schwachstelle.
Nach Angaben von Wordfence liegt die Ursache in einer unzureichenden Validierung von Dateipfaden in der Funktion factory_reset.
Die Ausnutzung besteht aus zwei aufeinanderfolgenden Schritten:
Über den nicht authentifizierten AJAX-Endpunkt eh_crm_new_ticket_post kann ein Angreifender einen beliebigen Wert für ticket_attachment_path speichern. Der zugehörige Nonce ist über den Shortcode [wsdesk_support] öffentlich verfügbar.
Anschließend kann die Funktion factory_reset über einen GET-Aufruf an wp-admin/admin.php?page=wsdesk_factory_reset ausgelöst werden. Dabei wird unlink auf den zuvor bereitgestellten Pfad angewendet.
Der Reset-Endpunkt verwendet laut Wordfence is_admin als Prüfung. Diese Prüfung bezieht sich auf die Art der Anfrage und ersetzt keine Berechtigungsprüfung für die anfragende Person. Version 3.3.9 ergänzt in factory_reset eine Rechteprüfung (manage_options), eine Nonce-Prüfung und eine abgesicherte Löschfunktion für Anhänge.
Mögliche Auswirkungen
Wordfence bewertet CVE-2026-114630 mit einem CVSS-Wert von 9.1. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H bewertet die unmittelbare Wirkung: hohe Auswirkungen auf Integrität und Verfügbarkeit, keine direkte Auswirkung auf die Vertraulichkeit. Führt das Löschen zu einer Codeausführung, sind auch die Daten auf dem Server gefährdet. Der beschriebene Ablauf kann das Löschen beliebiger Dateien auf dem Server ermöglichen. Als Beispiel nennt Wordfence die Datei wp-config.php; ihr Löschen kann unter den beschriebenen Bedingungen eine Remote-Code-Ausführung nach sich ziehen. Zusätzlich löscht der Reset in Version 3.3.8 laut Quellcode die Ticket- und Einstellungstabellen des Plugins sowie die Support-Seite.
Für die Priorisierung sind insbesondere WordPress-Instanzen relevant, auf denen das betroffene Plugin eingesetzt wird und bei denen der Ticket-Workflow sowie der Reset-Endpunkt extern erreichbar sind. Eine aktive Ausnutzung der Schwachstelle ist bislang nicht belegt.
Empfohlene Maßnahmen
Das Plugin auf Version 3.3.9 oder höher aktualisieren.
Ist das Update nicht sofort möglich: das Plugin deaktivieren oder alle Aufrufe unter /wp-admin/ mit dem Parameter page=wsdesk_factory_reset blockieren, etwa per WAF-Regel. Eine Sperre nur von admin.php genügt nicht, weil der Reset in Version 3.3.8 auch über andere Admin-Skripte wie admin-ajax.php startet.
Prüfen, ob auf betroffenen Instanzen Dateien wie wp-config.php oder Daten des Helpdesks fehlen.
LocateRisk: Sichtbarkeit für extern erreichbare WordPress-Instanzen
LocateRisk macht exponierte Systeme und eingesetzte Software sichtbar. Bei CVE-2026-114630 unterstützt diese Sichtbarkeit die Zuordnung extern erreichbarer WordPress-Instanzen, auf denen das betroffene Helpdesk-Plugin eingesetzt sein könnte — einschließlich vergessener Subdomains, nicht inventarisierter Cloud-Assets oder Schatten-IT, die außerhalb regulärer Patch-Prozesse betrieben wird.
Die Feststellung, ob eine Instanz tatsächlich betroffen ist, erfordert anschließend die technische Prüfung des eingesetzten Plugins, seines Patchstatus sowie der Erreichbarkeit der beschriebenen Endpunkte. Die Sichtbarkeit exponierter Webanwendungen kann dabei helfen, Prüfprioritäten und Zuständigkeiten für betroffene Systeme einzuordnen.
Bin ich betroffen?
Betroffen ist ELEX WordPress HelpDesk in den oben genannten Versionen. Wer wissen will, ob ELEX WordPress HelpDesk in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen. Maßgeblich ist die Version im WordPress-Backend: Betroffen sind alle Versionen bis 3.3.8, behoben ist die Lücke in 3.3.9.
CVE-2026-114630 ist eine mit CVSS 9.1 bewertete kritische Schwachstelle im WordPress-Plugin ELEX WordPress HelpDesk & Customer Ticketing System. Sie ermöglicht nicht authentifizierten Angreifenden das Löschen beliebiger Dateien auf dem betroffenen Server und kann unter bestimmten Bedingungen zu einer Remote-Code-Ausführung führen.
Das Plugin auf Version 3.3.9 oder höher aktualisieren. Ist das nicht sofort möglich, das Plugin deaktivieren oder alle Aufrufe unter /wp-admin/ mit dem Parameter page=wsdesk_factory_reset blockieren.
Stand: 06.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-114630
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français