Resumen ejecutivo
| Campo | Detalle |
|---|---|
| CVE | CVE-2026-18080 |
| Fabricante | wedevs |
| Producto | ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce |
| Fecha de publicación | 2026-08-26 |
| Severidad | CRITICAL |
| CVSS v3.1 | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Puntuación de prioridad (RyzerBot) | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La vulnerabilidad CVE-2026-18080 es una Unrestricted File Type Upload (CWE-434) que afecta a la función save_attachments() del módulo CRM Email Connect del plugin ERP para WordPress. Debido a la falta de validación de la extensión del archivo y a la ausencia de normalización de rutas, un atacante no autenticado puede enviar un correo electrónico manipulado al buzón IMAP configurado en el sitio. El correo debe incluir una cabecera References falsificada que coincida con el patrón esperado por el plugin y un archivo adjunto con nombre de ruta relativa (por ejemplo, ../helper.php).
El trabajo cron de sincronización IMAP escribe el archivo controlado por el atacante fuera del directorio protegido crm-attachments (que tiene un .htaccess que bloquea la ejecución de PHP) y lo coloca en wp-content/uploads/. En configuraciones donde PHP se ejecuta en el directorio de subidas, esto conduce a ejecución remota de código (RCE).
La explotación requiere que el módulo CRM y la función IMAP Email Connect estén habilitados y configurados.
Productos y versiones vulnerables
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce | Todas las versiones hasta y incluyendo 1.17.8 | 1.17.9 o superior (parche publicado en changeset 3656848) |
Nota: El fabricante es wedevs. No se han publicado otros productos afectados en las fuentes consultadas.
Impacto y riesgo
- Confidencialidad: Alta – El atacante puede leer archivos arbitrarios del servidor.
- Integridad: Alta – El atacante puede modificar o subir archivos maliciosos.
- Disponibilidad: Alta – El atacante puede ejecutar código que degrade o detenga el servicio.
- Vector de ataque: Red (AV:N), baja complejidad (AC:L), sin privilegios (PR:N), sin interacción de usuario (UI:N).
- Alcance: Inalterado (S:U).
La puntuación CVSS 9.8 refleja la gravedad máxima para una vulnerabilidad que puede ser explotada de forma remota sin autenticación y que conduce a compromiso total del sistema en configuraciones vulnerables.
Estado de explotación conocida
⚠️ No hay evidencia pública de explotación activa en las fuentes consultadas (NVD, CVE.org, Wordfence). La selección de esta CVE por RyzerBot se basa en su publicación reciente, criticidad (CVSS ≥ 9.0) y relevancia, no en explotación confirmada. Se recomienda tratarla como si pudiera ser explotada en cualquier momento.
Indicadores de compromiso (IOC)
🔍 No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Se recomienda monitorizar los registros de acceso a wp-content/uploads/ y la actividad del cron IMAP en busca de archivos PHP inesperados.
Cómo comprobar si estás afectado
- Verifica si tienes instalado el plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce.
- Comprueba la versión en el panel de administración de WordPress (Plugins → ERP). Si es 1.17.8 o anterior, eres vulnerable.
- Confirma si el módulo CRM y la función IMAP Email Connect están habilitados y configurados (ERP → CRM → Email Connect).
- Revisa el directorio
wp-content/uploads/en busca de archivos PHP que no deberían estar ahí (por ejemplo,helper.php). - Examina los logs del servidor web y de WordPress en busca de peticiones POST inusuales al endpoint de sincronización IMAP.
No se proporcionan comandos específicos porque dependen del entorno de cada instalación.
Mitigación y actualización
Actualización recomendada
Actualiza el plugin a la versión 1.17.9 o superior lo antes posible. La corrección se publicó en el changeset 3656848 del repositorio de WordPress.
Mitigaciones temporales (si no puedes actualizar ya)
- Desactiva la función IMAP Email Connect en la configuración del CRM (ERP → CRM → Email Connect).
- Si no necesitas el módulo CRM, desactívalo completamente.
- Asegúrate de que el directorio
wp-content/uploads/no ejecute PHP (configura el servidor web para denegar la ejecución de scripts en ese directorio). - Bloquea el acceso al buzón IMAP configurado desde direcciones IP no autorizadas.
Estas mitigaciones reducen la superficie de ataque pero no sustituyen la actualización.
Checklist para administradores
- ☐ Verificar versión del plugin ERP (≤ 1.17.8 = vulnerable).
- ☐ Confirmar si CRM e IMAP Email Connect están activos.
- ☐ Aplicar actualización a 1.17.9+ inmediatamente.
- ☐ Si no se puede actualizar ya, desactivar IMAP Email Connect.
- ☐ Configurar servidor web para no ejecutar PHP en
wp-content/uploads/. - ☐ Revisar logs en busca de actividad sospechosa en el cron IMAP.
- ☐ Escanear
wp-content/uploads/en busca de archivos PHP extraños. - ☐ Notificar al equipo de seguridad y documentar acciones.
Preguntas frecuentes
- ¿Esta vulnerabilidad afecta al núcleo de PHP o a WordPress?
- No. Afecta exclusivamente al plugin ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce de wedevs.
- ¿Puedo ser atacado si no uso la función IMAP Email Connect?
- La explotación requiere que IMAP Email Connect esté habilitado y configurado. Si no lo usas, el vector de ataque no está presente, pero se recomienda actualizar igualmente.
- ¿Hay parches para versiones antiguas (por ejemplo, 1.16.x)?
- El fabricante solo ha publicado la corrección en la versión 1.17.9. No hay backports oficiales para ramas anteriores. Actualiza a la última versión.
- ¿Qué hago si ya veo archivos PHP sospechosos en
wp-content/uploads/? - Trata el incidente como compromiso activo: aísla el sitio, restaura desde copia de seguridad limpia, actualiza el plugin y rota credenciales.
- ¿Dónde puedo encontrar el aviso oficial del fabricante?
- El changeset del parche está en plugins.trac.wordpress.org y el análisis de Wordfence en wordfence.com.
- ¿Esta CVE tiene exploit público?
- No se ha publicado exploit público en las fuentes consultadas. La ausencia de exploit no reduce la criticidad.