Índice
- Resumen ejecutivo
- Qué es la vulnerabilidad
- Productos y versiones vulnerables
- Impacto y riesgo
- Estado de explotación conocida
- Indicadores de compromiso (IOC)
- Cómo comprobar si estás afectado
- Mitigación y actualización
- Checklist para administradores
- Preguntas frecuentes
- Fuentes oficiales
Resumen ejecutivo
| Campo | Valor |
|---|---|
| CVE | CVE-2026-15011 |
| Fabricante | emarket-design |
| Producto | Customer Support Ticket System & Helpdesk (plugin WordPress) |
| Fecha de publicación | 2026-07-23 |
| Severidad | CRÍTICA |
| CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
CVE-2026-15011 es una vulnerabilidad de inyección de código (CWE-94) en el plugin Customer Support Ticket System & Helpdesk para WordPress, desarrollado por emarket-design. El fallo reside en el parámetro path y se debe a la invocación dinámica de funciones sobre un valor controlado por el atacante sin la validación suficiente. Esto permite a atacantes no autenticados invocar funciones PHP arbitrarias sin parámetros. El nonce necesario se expone públicamente mediante wp_localize_script cuando el shortcode [emd_form] se renderiza en cualquier página pública, haciendo que el endpoint sea accesible sin autenticación previa.
Productos y versiones vulnerables
Según las fuentes consultadas, el producto afectado es:
| Producto | Versión afectada |
|---|---|
| Customer Support Ticket System & Helpdesk | Todas las versiones hasta 6.0.5 inclusive |
No se han publicado otras versiones o productos afectados en las fuentes consultadas.
Impacto y riesgo
La vulnerabilidad tiene un impacto alto en confidencialidad, integridad y disponibilidad (CVSS 9.8). Un atacante podría:
- Ejecutar funciones PHP arbitrarias sin parámetros, lo que puede llevar a la divulgación de información sensible.
- Interrumpir la funcionalidad del sitio web.
- Potencialmente escalar a compromisos mayores dependiendo del contexto del servidor.
El vector de ataque es remoto, no requiere autenticación ni interacción del usuario, y la complejidad del ataque es baja.
Estado de explotación conocida
No publicado por las fuentes consultadas. La selección de esta CVE se basa en su publicación reciente y su puntuación CVSS 9.8, no en evidencia de explotación activa.
Indicadores de compromiso (IOC)
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress está afectada:
- Verifica la versión del plugin Customer Support Ticket System & Helpdesk en el panel de administración de WordPress (Plugins → Plugins instalados).
- Si la versión es igual o inferior a 6.0.5, estás afectado.
No se proporcionan comandos específicos en las fuentes consultadas.
Mitigación y actualización
La acción recomendada es revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Dado que la vulnerabilidad afecta hasta la versión 6.0.5, se debe actualizar el plugin a una versión superior si está disponible. Consulta el repositorio oficial de WordPress o el sitio del desarrollador para obtener el parche.
Checklist para administradores
- ☐ Identificar la versión del plugin Customer Support Ticket System & Helpdesk.
- ☐ Si la versión es ≤ 6.0.5, planificar una actualización inmediata.
- ☐ Revisar los registros de acceso en busca de peticiones anómalas al endpoint del shortcode
[emd_form]. - ☐ Monitorizar la integridad de archivos del sitio WordPress.
- ☐ Revisar la configuración de seguridad del servidor web y PHP.
- ☐ Mantener copias de seguridad actualizadas.
Preguntas frecuentes
¿Qué es CVE-2026-15011?
Es una vulnerabilidad crítica de inyección de código en el plugin Customer Support Ticket System & Helpdesk para WordPress, con CVSS 9.8.
¿Qué versiones están afectadas?
Todas las versiones hasta la 6.0.5 inclusive.
¿Requiere autenticación?
No, el ataque puede ser realizado por atacantes no autenticados.
¿Hay actualización disponible?
Las fuentes consultadas no indican explícitamente una versión parcheada. Se recomienda consultar el aviso oficial del fabricante.
¿Cómo puedo protegerme?
Actualiza el plugin a la última versión disponible y revisa las recomendaciones del fabricante.
¿Se está explotando activamente?
No publicado por las fuentes consultadas.