Saltar al contenido

Radar en marcha

Bastion/Radar

[■] Expediente CVE-2026-114630

Hay corrección

CVE-2026-114630: recorrido de rutas (path traversal) en ELEX WordPress HelpDesk & Customer Ticketing System

Recorrido de rutas (path traversal) en ELEX WordPress HelpDesk & Customer Ticketing System, de gravedad crítica (9,1 sobre 10). Se puede atacar a distancia, sin credenciales y sin que la víctima haga nada. Hay versión corregida.

CVSS 3.1
9,1
Crítica
Explotación
No confirmada
sin entrada en CISA KEV
EPSS 30 d
1,3 %
probabilidad de explotación
Corrección
3.3.9
la más reciente
Publicada
5 nov. 2026
modificada el 6 nov. 2026

También conocida como 2151249a-8e7a-4c7b-89ff-5058942368fb

[■] Explicado

Un fallo en ELEX HelpDesk permite borrar archivos del servidor sin iniciar sesión

ELEX WordPress HelpDesk hasta la versión 3.3.8 tiene un fallo que permite a alguien sin cuenta borrar archivos del servidor; eliminar ciertos archivos podría dejar la web fuera de servicio o permitir ejecutar código. Actualiza el plugin como mínimo a la 3.3.9; WordPress.org muestra la 3.4.0 como versión actual consultada.

Para todos

Qué es

El plugin no comprueba correctamente qué archivo debe borrar al ejecutar una función de restablecimiento. Una persona externa puede preparar la petición mediante el formulario público de tickets y después provocar ese borrado.

Qué te puede pasar

Podrían borrarse archivos importantes de la web. Eso puede interrumpir el servicio y, si se elimina un archivo adecuado, llegar a facilitar la ejecución de código en el servidor. No hace falta tener una cuenta ni que alguien de la web pulse un enlace.

Fuentes [S1] [S2] [S4]

Para técnicos

Cómo funciona

El fallo afecta a factory_reset: la ruta recibida en ticket_attachment_path no se valida suficientemente antes de que se use para borrar un archivo. Según Wordfence, la cadena combina el envío de un ticket por la acción AJAX pública eh_crm_new_ticket_post —cuyo nonce puede quedar expuesto mediante el shortcode [wsdesk_support]— con una petición GET a wp-admin/admin.php?page=wsdesk_factory_reset. La rutina comprueba is_admin(), pero no una capacidad de usuario, y puede acabar llamando a unlink() con la ruta controlada por el atacante. El vector CVSS del expediente es de red, sin privilegios previos y sin interacción de otra persona.

Desde dónde
Por red (Internet)
Qué necesita
Ninguna cuenta
Interacción
No hace falta que nadie haga nada
Impacto
El CVSS asigna impacto alto a la integridad y a la disponibilidad, y ninguno a la confidencialidad. El borrado de determinados archivos podría además facilitar la ejecución remota de código.

Fuentes [S1] [S2] [S4]

Explotación

Sin constancia de explotación

Bastion Radar indica que no hay explotación confirmada. Las fuentes consultadas describen cómo podría explotarse el fallo, pero no confirman ataques reales ni una prueba pública de concepto.

Fuentes [S1] [S2] [S4]

Qué hacer

  1. 01

    Hoy · WordPress

    Actualiza ELEX WordPress HelpDesk a la versión 3.3.9 como mínimo. La ficha de WordPress.org consultada muestra la 3.4.0; instala esa versión o una posterior disponible.

    Fuentes [S2] [S3]

Preguntas frecuentes

¿Qué versiones de ELEX HelpDesk están afectadas por CVE-2026-114630?

Las versiones hasta la 3.3.8, incluida. La versión corregida es la 3.3.9.

Fuentes [S1] [S2]

¿Hace falta iniciar sesión para explotar este fallo?

No. El vector CVSS y la descripción de Wordfence indican que no se requieren credenciales ni interacción de otra persona.

Fuentes [S1] [S2]

¿Se ha confirmado que se esté explotando?

No hay explotación confirmada según Bastion Radar. Las fuentes describen la posibilidad de explotación, pero no informan de ataques reales.

Fuentes [S1] [S2]

¿Qué versión debo instalar para corregirlo?

La corrección figura en la 3.3.9. Instala como mínimo esa versión; la página de WordPress.org consultada muestra la 3.4.0.

Fuentes [S2] [S3]

Glosario

Nonce
Un valor temporal que WordPress utiliza para comprobar ciertas peticiones. En este caso, la fuente indica que puede quedar expuesto a través del formulario público del plugin.
AJAX
Una forma de que una página web envíe peticiones al servidor sin recargar toda la página.
Ruta de archivo
La ubicación de un archivo en el servidor, por ejemplo, dentro de una carpeta de WordPress.

De dónde sale cada dato

Cada afirmación lleva su llamada ([S1], [S2]…) a una de estas fuentes. No reproducimos su texto: lo hemos leído, contrastado y contado con nuestras palabras.

  1. S1
    Ficha de CVE-2026-114630 en Bastion Radar

    Datos del expediente, versiones afectadas según el radar y estado de explotación indicado en la ficha.

    Bastion Radar Bastion Radar · bastionradar.com

  2. S2
    Aviso de seguridad sobre el borrado de archivos en ELEX HelpDesk

    Descripción técnica, versiones afectadas, versión corregida y requisitos de explotación.

    Wordfence Intelligence (Defiant) Investigación · wordfence.com

  3. S3
    Ficha del plugin y su registro de cambios

    Confirmación del cambio de seguridad de la versión 3.3.9 y de la versión 3.4.0 mostrada en la ficha consultada.

    WordPress.org Fabricante · wordpress.org

  4. S4
    Aviso de CVE-2026-114630 en la base de datos de avisos de GitHub

    Contraste independiente del vector CVSS, la clase del fallo y su impacto.

    GitHub Advisory Database Base de vulnerabilidades · github.com

Redactado por Bastion Radar con ayuda de un modelo de lenguaje a partir de los datos del radar y de las fuentes citadas, que el modelo consultó. Después se comprueba afirmación por afirmación y sólo se publica si todo cuadra. Cómo funciona.

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

Incluye datos de GitHub Advisory Database (github.com/github/advisory-database), CC BY 4.0. Adaptados.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

[A] Comprobación

¿Me afecta?

Escribe tu versión y te decimos si cae en alguno de los tramos afectados. No se guarda nada.

Mi versión de ELEX WordPress HelpDesk & Customer Ticketing System

Versiones afectadas de ELEX WordPress HelpDesk & Customer Ticketing System

1 tramo · según Wordfence Intelligence (Defiant)

  • todas las anteriores hasta la 3.3.8 3.3.9

[B] Qué hacer

¿Cómo lo soluciono?

  1. 01

    Actualiza ELEX WordPress HelpDesk & Customer Ticketing System a la 3.3.9 o posterior.

    Es la corrección más reciente que dan las fuentes.

  2. 02

    Que no te pille la próxima.

    Añade ELEX WordPress HelpDesk & Customer Ticketing System a Mi stack y tendrás a mano lo que salga de lo que usas.

[C] Cronología

Qué ha pasado

  1. 5 nov. 2026 T0

    Se publica la vulnerabilidad

    según Wordfence Intelligence (Defiant)

  2. 6 nov. 2026 T0

    Hay una versión corregida

    según Wordfence Intelligence (Defiant)

[D] Trazabilidad

Fuentes

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

Datos reinterpretados por Bastion Radar a partir de las fuentes citadas. Fuentes y licencias.