CVE-2026-114630: Suppression de fichiers dans ELEX WordPress HelpDesk
Ce texte a été généré par l'intelligence artificielle (IA).Selon Wordfence, CVE-2026-114630 concerne le plugin ELEX WordPress HelpDesk & Customer Ticketing System pour WordPress jusqu'à la version 3.3.8. La vulnérabilité permet à des attaquants non authentifiés de supprimer n'importe quel fichier sur le serveur. La suppression d'un fichier pertinent peut permettre, selon Wordfence, une exécution de code à distance. La version 3.3.9 du 30 octobre 2026 corrige la vulnérabilité.
Selon Wordfence, la cause réside dans une validation insuffisante des chemins de fichiers dans la fonction factory_reset.
L'exploitation se compose de deux étapes consécutives :
Via le point de terminaison AJAX non authentifié eh_crm_new_ticket_post un attaquant peut enregistrer n'importe quelle valeur pour ticket_attachment_path Le nonce correspondant est accessible publiquement via le shortcode [wsdesk_support] disponible publiquement.
Ensuite, la fonction peut être déclenchée factory_reset via un appel GET à wp-admin/admin.php?page=wsdesk_factory_reset où unlink est appliqué au chemin fourni précédemment.
Le point de terminaison de réinitialisation utilise, selon Wordfence is_admin en tant qu’audit. Cet audit concerne le type de demande et ne remplace pas un contrôle d'autorisation pour la personne faisant la demande. La version 3.3.9 complète dans factory_reset un contrôle des droits (manage_options), un contrôle de Nonce et une fonction de suppression sécurisée pour les pièces jointes.
Conséquences possibles
Wordfence évalue CVE-2026-114630 avec un score CVSS de 9.1. Le vecteur CVSS CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H évalue l'impact immédiat : fort impact sur l'intégrité et la disponibilité, aucun impact direct sur la confidentialité. Si la suppression entraîne une exécution de code, les données sur le serveur sont également mises en danger. Le processus décrit peut permettre la suppression de fichiers quelconques sur le serveur. Wordfence cite, par exemple, le fichier wp-config.php; sa suppression peut entraîner une exécution de code à distance dans les conditions décrites. De plus, la réinitialisation dans la version 3.3.8 supprime, selon le code source, les tables de tickets et de réglages du plugin ainsi que la page de support.
Pour la priorisation, les instances de WordPress où le plugin affecté est utilisé et où le flux de travail des tickets ainsi que le point de terminaison de réinitialisation sont accessibles de l'extérieur sont particulièrement pertinentes. Il n'y a pas encore de preuve d'une exploitation active de la vulnérabilité.
Mesures recommandées
Le plugin à la version 3.3.9 ou supérieure.
Si la mise à jour n'est pas immédiatement possible : désactiver le plugin ou bloquer tous les appels sous /wp-admin/ avec le paramètre page=wsdesk_factory_reset par exemple via une règle WAF. Un blocage uniquement de admin.php n'est pas suffisant, car la réinitialisation dans la version 3.3.8 démarre également via d'autres scripts d'administration comme admin-ajax.php .
Vérifier si des fichiers tels que wp-config.php ou des données du Helpdesk manquent.
LocateRisk : visibilité pour les instances WordPress accessibles de l'extérieur
LocateRisk rend visibles les systèmes exposés et les logiciels utilisés. Pour CVE-2026-114630, cette visibilité aide à identifier les instances WordPress accessibles de l'extérieur, où le plugin Helpdesk affecté pourrait être utilisé — y compris les sous-domaines oubliées, les actifs cloud non inventoriés ou la shadow IT, qui fonctionne en dehors des processus de mise à jour réguliers.
Déterminer si une instance est effectivement affectée nécessite ensuite un examen technique du plugin utilisé, de son statut de mise à jour et de l'accessibilité des points de terminaison décrits. La visibilité des applications web exposées peut aider à classer les priorités d'audit et les responsabilités pour les systèmes affectés.
Suis-je concerné ?
C'est ELEX WordPress HelpDesk dans les versions mentionnées ci-dessus qui est affecté. Ceux qui souhaitent savoir si ELEX WordPress HelpDesk est visible dans leur propre infrastructure accessible depuis l'extérieur peuvent le Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
La version concrètement installée ne peut pas toujours être déterminée de l'extérieur. La version dans le backend WordPress est déterminante : toutes les versions jusqu'à 3.3.8 sont concernées, la faille est corrigée dans 3.3.9.
CVE-2026-114630 est une vulnérabilité critique notée CVSS 9.1 dans le plugin WordPress ELEX WordPress HelpDesk & Customer Ticketing System. Elle permet à des attaquants non authentifiés de supprimer des fichiers arbitraires sur le serveur affecté et peut, dans certaines conditions, conduire à une exécution de code à distance.
Mettre à jour le plugin vers la version 3.3.9 ou supérieure. Si cela n'est pas possible immédiatement, désactiver le plugin ou bloquer tous les appels sous /wp-admin/ avec le paramètre page=wsdesk_factory_reset bloquer.
État : 06.11.2026. Cet article a un but d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action dans un cas particulier. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; l'avis du fabricant lié est toujours déterminant. Malgré des recherches minutieuses, nous ne garantissons pas l'actualité, l'exactitude et l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-114630
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English