CVE-2026-119077 et CVE-2026-125055 : vulnérabilités critiques dans deux plugins WordPress
Ce texte a été généré par l'intelligence artificielle (IA).Le 12 novembre 2026, Wordfence a publié deux vulnérabilités critiques dans des plugins WordPress. CVE-2026-119077 affecte ELEX WordPress HelpDesk & Customer Ticketing System jusqu'à la version 3.3.9 incluse. CVE-2026-125055 affecte Chatterbug Forms – Fast, Flexible WordPress Form Builder jusqu'à la version 1.0.2 incluse. Les deux vulnérabilités ont une valeur CVSS de 9.8. Des mises à jour sont disponibles pour les deux plugins : ELEX HelpDesk 3.4.0 et Chatterbug Forms 1.1.
Vulnérabilité : CVE-2026-119077 (CVSS 9,8, critique) ; autres : CVE-2026-125055
Statut : Mises à jour disponibles ; aucun abus actif prouvé
CVE-2026-119077 : Injection d'Objet PHP dans ELEX HelpDesk
Selon Wordfence, ELEX WordPress HelpDesk & Customer Ticketing System jusqu'à la version 3.3.9 incluse est vulnérable à l'injection d'objet PHP. La vulnérabilité concerne le paramètre form, en particulier le champ transmis dans les données de formulaire encodées en URL ticket_label.
Wordfence mentionne comme cause l'authentification côté serveur manquante et l'absence d'une liste blanche de classes lors de la désérialisation. Sur une page accessible publiquement avec le shortcode [wsdesk_support] un wsdesk_nonce est émis. Cette valeur peut être récupérée par des visiteurs non authentifiés et ne représente pas un contrôle d'accès efficace.
Une attaque réussie nécessite une requête GET anonyme sur une page publique avec le shortcode ainsi qu'une requête POST non authentifiée. Cela permet d'exécuter du code sur le serveur affecté.
CVE-2026-125055 : Téléversement de Fichier Non Autorisé dans Chatterbug Forms
CVE-2026-125055 affecte Chatterbug Forms – Fast, Flexible WordPress Form Builder jusqu'à la version 1.0.2 incluse. Wordfence décrit un contrôle manquant des extensions de fichier dans la fonction cbforms_check_form_submissions.
Lorsqu'aucune restriction n'est configurée pour un champ de formulaire, la vérification peut accepter le type de fichier de l'extension fournie avec le téléversement. Cela permet de téléverser des fichiers avec n'importe quelle extension, y compris des fichiers PHP. Si ces fichiers sont exécutables, une exécution de code à distance est possible.
Pour ce plugin également, une valeur nonce est émise sur les pages publiques avec des formulaires Chatterbug. Cette valeur est récupérable par des visiteurs non authentifiés et ne fournit pas un contrôle d'accès efficace.
Priorisation des instances WordPress accessibles publiquement
Les deux vulnérabilités concernent des plugins WordPress qui peuvent être exécutés sur des serveurs Web accessibles publiquement sous des domaines de clients ou d'entreprises. Pour la priorisation, il est particulièrement important de considérer les pages de support accessibles publiquement avec [wsdesk_support] ainsi que les pages contenant des formulaires Chatterbug pertinents.
L'examen technique doit répondre à trois questions :
La WordPress instance est-elle accessible au public ?
L'un des plugins concernés est-il installé ?
La version est-elle dans les versions connues touchées ?
Pour CVE-2026-119077, la sortie publique du shortcode de support est pertinente. Pour CVE-2026-125055, les formulaires Chatterbug accessibles au public et les fonctions de téléchargement associées sont pertinents.
Mesures pour l'exploitation et la réponse aux incidents
Des versions corrigées sont disponibles pour les deux plugins : ELEX HelpDesk à partir de la version 3.4.0, Chatterbug Forms à partir de la version 1.1. Les installations concernées doivent être mises à jour sans délai. Si une mise à jour n'est pas immédiatement possible, le plugin doit être désactivé d'ici là. L'examen interne de l'état d'installation et de la version doit avoir la plus haute priorité. Cela s'applique particulièrement à ELEX HelpDesk pour les pages accessibles au public avec le shortcode [wsdesk_support]. , pour Chatterbug Forms cela concerne les formulaires publics et les fonctions de téléchargement.
De plus, les responsables doivent mettre en œuvre les mesures suivantes :
Vérifier les répertoires de téléchargement pour des fichiers PHP non autorisés.
Prioriser et atténuer les systèmes touchés.
Utiliser un pare-feu d'application web pour bloquer les requêtes POST non authentifiées aux points d'extrémité concernés.
Intégrer une surveillance continue des vulnérabilités et du risque fournisseur dans le processus opérationnel.
Les organisations en Allemagne et en Autriche qui traitent des données personnelles via les plugins concernés doivent vérifier si une attaque réussie déclenche une obligation de notification conformément à l'article 33 du GDPR (délai de 72 heures pour informer l'autorité de surveillance compétente). Les exploitants de systèmes soumis à la NIS-2 — mise en œuvre en Allemagne via la NIS2UmsuCG, en Autriche via la NISG — sont également tenus de signaler les incidents de sécurité significatifs à l'autorité nationale compétente. Pour la Suisse, la loi révisée sur la sécurité de l'information (ISG) s'applique avec une obligation de notification au BACS.
Classer les instances accessibles publiquement
LocateRisk rend visibles les systèmes accessibles au public et les logiciels utilisés. Pour les instances WordPress, des signaux HTTP externes, tels que les chemins d'assets de plugins ou les contenus publiquement accessibles, peuvent indiquer l'utilisation d'ELEX HelpDesk ou de Chatterbug Forms.
Cette visibilité externe soutient la priorisation des applications accessibles au public. L'installation concrète, l'état de version et l'état de correctif doivent ensuite être vérifiés au sein des systèmes internes.
Pour ce rapport, l'utilité réside dans un ordre de travail compréhensible : recenser les instances WordPress accessibles au public, associer les indications aux plugins concernés, puis effectuer l'examen interne ainsi que les mesures prévues.
Suis-je concerné ?
Sont concernés ELEX WordPress HelpDesk et Chatterbug Forms dans les versions mentionnées ci-dessus. Ceux qui souhaitent savoir si ELEX WordPress HelpDesk et Chatterbug Forms sont visibles dans leur infrastructure accessible au public peuvent le faire. Vérification rapide CVE à consulter à la fin de cet article : il présente les systèmes exposés et les logiciels identifiables depuis l'extérieur.
Il n'est pas toujours possible de déterminer la version effectivement installée à partir d'éléments externes — il est essentiel de la comparer avec l'avis de sécurité du fabricant.
L'injection d'objet PHP se produit lorsqu'une application désérialise des données contrôlées par l'utilisateur sans vérification suffisante. Les attaquants peuvent ainsi injecter des objets manipulés qui exécutent du code côté serveur lors du traitement. Dans le cas de CVE-2026-119077, deux requêtes HTTP non authentifiées suffisent pour réaliser cette attaque.
ELEX WordPress HelpDesk & Customer Ticketing System est affecté par CVE-2026-119077 dans toutes les versions jusqu'à et y compris 3.3.9. Chatterbug Forms – Fast, Flexible WordPress Form Builder est affecté par CVE-2026-125055 dans toutes les versions jusqu'à et y compris 1.0.2. La vulnérabilité est corrigée dans ELEX HelpDesk à partir de la version 3.4.0 et dans Chatterbug Forms à partir de la version 1.1.
Les plugins concernés doivent être immédiatement mis à jour vers la version patchée (ELEX HelpDesk 3.4.0, Chatterbug Forms 1.1). Si cela n'est pas possible immédiatement, le plugin doit être désactivé jusqu'à la mise à jour. De plus, il est recommandé de vérifier les répertoires de téléchargement pour des fichiers PHP non autorisés ainsi que d'utiliser un pare-feu d'application Web pour bloquer les requêtes POST non authentifiées vers les points d'extrémité concernés.
État : 13.11.2026. Cet article sert à des fins d'information générale et ne constitue pas un conseil juridique, de sécurité ou d'action spécifique. La situation de sécurité et la disponibilité des correctifs peuvent avoir changé depuis la publication ; ce qui est décisif est toujours l'avertissement du fabricant lié. Malgré des recherches minutieuses, nous déclinons toute responsabilité quant à l'actualité, à l'exactitude et à l'exhaustivité.
Vérification rapide CVE
Vérifiez en quelques minutes si votre surface d'attaque visible depuis l'extérieur présente des indices liés à une vulnérabilité CVE actuelle.
Première évaluation en quelques minutes par e-mail.
Pour en savoir plus, contactez gratuitement un consultant LocateRisk.
Vous recevrez cela par e-mail
EntreprisesVotre société GmbH
CVE vérifiésCVE-2026-119077
Évaluation passive
Remarques concernant le CVEtrouvé ou non trouvé
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Always active
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English