CVE-2026-103768: Upload-Schwachstelle im ELEX-HelpDesk-Plugin
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Wordfence beschreibt mit CVE-2026-103768 eine Schwachstelle im WordPress-Plugin ELEX WordPress HelpDesk & Customer Ticketing System. Betroffen sind alle Versionen bis einschließlich 3.3.7. Die Schwachstelle wird mit einem CVSS-Score von 9.8 bewertet.
Die Ursache liegt in einer unzureichenden Prüfung von Dateitypen bei der Verarbeitung von IMAP-E-Mail-Anhängen. Nicht authentifizierte Angreifer können dadurch Dateien hochladen, die potenziell ausführbar sind. Dies kann die Ausführung von Code auf einem betroffenen System ermöglichen.
Die Schwachstelle betrifft das Plugin elextensions elex_wordpress_helpdesk_customer_ticketing_system, das über das WordPress-Plugin-Repository bereitgestellt wird. Nach Wordfence befindet sich die fehlerhafte Verarbeitung in der Funktion initMailPart.
Diese Funktion verarbeitet IMAP-Anhänge und speichert sie im Upload-Verzeichnis. Weil die Prüfung des Dateityps nicht ausreicht, können nicht authentifizierte Angreifer Dateien hochladen, die ausführbar sein können.
Betroffenheit im Überblick:
CVE-ID: CVE-2026-103768
Komponente: ELEX WordPress HelpDesk & Customer Ticketing System
Betroffene Versionen: bis einschließlich 3.3.7
Ursache: unzureichende Dateitypprüfung bei IMAP-Anhängen (CWE-434 – Unrestricted Upload of File with Dangerous Type)
Mögliche Folge: Ausführung von Code über hochgeladene ausführbare Dateien
Schweregrad: CVSS 9.8
Update und technische Prüfung
Für die Schwachstelle steht laut Wordfence mit Version 3.3.8 eine fehlerbereinigte Version bereit. Der Patch ist im WordPress Plugin SVN dokumentiert.
Nach aktuellem Kenntnisstand ist keine aktive Ausnutzung der Schwachstelle bekannt.
Die Bearbeitung sollte sich auf die betroffenen WordPress-Installationen konzentrieren:
Patchstatus und Betroffenheit des ELEX-Plugins prüfen.
Das Plugin auf Version 3.3.8 oder höher aktualisieren.
Betroffene Systeme priorisieren und mitigieren.
Das IMAP-Anhangs-Handling auf unerwartete Dateitypen im Upload-Verzeichnis prüfen.
Die Prüfung des Upload-Verzeichnisses ergänzt das Update. Sie hilft dabei, unerwartete Dateien im Zusammenhang mit der IMAP-Anhangsverarbeitung zu identifizieren.
Führt eine erfolgreiche Ausnutzung zu einem unbefugten Zugriff auf personenbezogene Daten, greift für betroffene Unternehmen mit EU-Kundenbezug die Meldepflicht nach Art. 33 DSGVO mit einer 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde. NIS-2-pflichtige Organisationen in Deutschland und Österreich sollten die externe Erreichbarkeit betroffener WordPress-Instanzen prüfen und den Patchstatus dokumentieren. Das BSI empfiehlt grundsätzlich die zeitnahe Anwendung verfügbarer Patches bei Schwachstellen mit einem CVSS-Score von 9.0 oder höher. Für Schweizer Organisationen gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht gegenüber dem BACS.
Das Plugin wird innerhalb einer WordPress-Instanz unter der Domain des jeweiligen Betreibers eingesetzt. WordPress-Plugin-Strukturen und wp-content-Pfade können bei extern erreichbaren Webanwendungen sichtbar sein. Dadurch sind betroffene Installationen für die Bewertung der externen Angriffsfläche relevant.
LocateRisk macht extern erreichbare Webanwendungen, zugehörige Systeme und eingesetzte Software sichtbar. Bei CVE-2026-103768 unterstützt diese Sichtbarkeit dabei, WordPress-Instanzen mit dem ELEX-HelpDesk-Plugin zu erfassen und extern erreichbare Systeme für die Prüfung des Patchstatus zu priorisieren. Die Plattform leitet aus der Sichtbarkeit einer eingesetzten Komponente jedoch nicht zwingend die konkret verwundbare Version ab.
Für die dauerhafte Bearbeitung gehört die Komponente in ein kontinuierliches Schwachstellen- und Vendor-Risk-Monitoring. So können eingesetzte Software, externe Erreichbarkeit und offene Update-Aufgaben in der Risikobewertung berücksichtigt werden.
Bin ich betroffen?
Betroffen ist ELEX WordPress HelpDesk in den oben genannten Versionen; behoben wurde die Schwachstelle in 3.3.8. Wer wissen will, ob ELEX WordPress HelpDesk in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
Betroffen sind alle Versionen des ELEX WordPress HelpDesk & Customer Ticketing System bis einschließlich Version 3.3.7. Version 3.3.8 enthält laut Wordfence die Fehlerbehebung.
Das Plugin sollte auf Version 3.3.8 oder höher aktualisiert werden. Ergänzend empfiehlt sich eine Prüfung des Upload-Verzeichnisses auf unerwartete Dateien, die über die IMAP-Anhangsverarbeitung abgelegt worden sein könnten.
Nach aktuellem Kenntnisstand ist keine aktive Ausnutzung der Schwachstelle bekannt. Angesichts des CVSS-Scores von 9.8 und der fehlenden Authentifizierungsanforderung ist eine zeitnahe Patch-Anwendung dennoch dringend empfohlen.
Stand: 16.10.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-103768
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français