Alerta crítica: Se ha publicado la CVE-2026-103768, una vulnerabilidad de subida de archivos arbitrarios en el plugin ELEX WordPress HelpDesk & Customer Ticketing System para WordPress, que afecta a todas las versiones hasta la 3.3.7 inclusive. Un atacante no autenticado podría explotar esta falla para ejecutar código remoto en el servidor, comprometiendo totalmente la confidencialidad, integridad y disponibilidad del sitio. Se recomienda aplicar la actualización disponible (versión 3.3.8) de forma inmediata.
Resumen ejecutivo
| CVE | CVE-2026-103768 |
|---|---|
| Fabricante | elextensions |
| Producto | ELEX WordPress HelpDesk & Customer Ticketing System |
| Fecha de publicación | 2026-10-16 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) |
| Prioridad RyzerBot | 230 |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-103768 es una vulnerabilidad de subida de archivos arbitrarios (CWE-434: Unrestricted Upload of File with Dangerous Type) localizada en el plugin ELEX WordPress HelpDesk & Customer Ticketing System, utilizado para gestionar tickets de soporte y atención al cliente desde WordPress.
El fallo se encuentra en la función initMailPart, dentro del archivo includes/Mailbox.php. Esta función procesa los adjuntos de correos electrónicos recibidos vía IMAP para incorporarlos al sistema de tickets. El problema radica en una validación insuficiente del tipo de archivo al guardar dichos adjuntos: el plugin no comprueba adecuadamente la extensión ni el contenido real del archivo, permitiendo que un atacante pueda subir archivos potencialmente ejecutables.
La falta de restricciones en la subida de archivos peligrosos combinada con la posibilidad de que estos archivos sean almacenados en el servidor y accesibles vía web, abre la puerta a un escenario de ejecución remota de código (RCE). Un atacante podría cargar, por ejemplo, un script PHP malicioso y posteriormente invocarlo desde el navegador para ejecutar comandos arbitrarios en el servidor.
La vulnerabilidad es explotable por atacantes no autenticados, lo que incrementa significativamente su criticidad, ya que no se requiere ningún nivel de acceso previo al sitio WordPress para intentar comprometerlo.
El fabricante ha publicado la versión 3.3.8 del plugin, que corrige el problema. El parche está disponible en el repositorio oficial de WordPress y en el registro de cambios público del plugin.
Productos y versiones vulnerables
La vulnerabilidad afecta al plugin ELEX WordPress HelpDesk & Customer Ticketing System para WordPress, desarrollado por elextensions. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 3.3.7 inclusive se consideran afectadas.
| Producto | Fabricante | Versiones afectadas | Versión corregida |
|---|---|---|---|
| ELEX WordPress HelpDesk & Customer Ticketing System | elextensions | Todas las versiones hasta 3.3.7 (incluida) | 3.3.8 (según referencia al changeset de WordPress.org) |
La referencia al repositorio oficial de plugins de WordPress indica la existencia de un changeset con la etiqueta 3.3.8, lo que sugiere que la corrección se ha publicado en esa versión. No obstante, el fabricante no ha publicado un aviso oficial adicional en las fuentes consultadas.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada como CRÍTICA con una puntuación CVSS v3.1 de 9.8 sobre 10. El vector asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica:
- Vector de ataque: Red (AV:N). El atacante no necesita acceso físico ni local.
- Complejidad de ataque: Baja (AC:L). No se requieren condiciones especiales para explotarla.
- Privilegios necesarios: Ninguno (PR:N). Un atacante no autenticado puede explotar la vulnerabilidad.
- Interacción del usuario: Ninguna (UI:N). No se requiere que un usuario realice ninguna acción.
- Impacto en confidencialidad, integridad y disponibilidad: Alto (C:H/I:H/A:H).
La causa raíz reside en la función initMailPart, que procesa los adjuntos de correos electrónicos obtenidos mediante IMAP. La validación insuficiente del tipo de archivo permite a un atacante no autenticado subir archivos potencialmente ejecutables al servidor. Esto puede derivar en ejecución remota de código (RCE) con los privilegios del usuario bajo el que se ejecuta WordPress, comprometiendo por completo la confidencialidad, integridad y disponibilidad del sitio y, potencialmente, del servidor que lo aloja.
Dado que el plugin está diseñado para gestionar tickets de soporte y correo electrónico, es probable que esté expuesto a Internet y que el procesamiento de adjuntos se realice de forma automatizada, lo que incrementa significativamente la superficie de ataque.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información sobre explotación activa de esta vulnerabilidad. No se ha incluido ninguna referencia a campañas en curso, exploits públicos o código de prueba de concepto en los datos disponibles.
No obstante, la criticidad de la vulnerabilidad (9.8) y la facilidad de explotación (sin autenticación, baja complejidad) hacen que sea un objetivo muy atractivo para actores maliciosos. Se recomienda aplicar la actualización disponible con carácter urgente, sin esperar a que se confirme explotación activa.
Indicadores de compromiso (IOC)
El campo enrichment.ioc del contexto no contiene indicadores de compromiso estructurados. Las fuentes consultadas (NVD, CVE.org y las referencias incluidas) no publican IOC específicos para esta vulnerabilidad.
No deben inventarse indicadores. En su lugar, se recomienda a los administradores:
- Revisar los archivos subidos al servidor en busca de adjuntos de correo con extensiones ejecutables o inusuales (por ejemplo,
.php,.phtml,.php5, etc.). - Auditar los registros de acceso y de errores del servidor web en busca de peticiones anómalas relacionadas con la subida de archivos.
- Verificar la integridad de los archivos del plugin y compararlos con una instalación limpia de la versión corregida.
- Revisar los buzones IMAP configurados en el plugin para detectar correos con adjuntos sospechosos.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-103768, debes verificar la versión exacta del plugin ELEX WordPress HelpDesk & Customer Ticketing System que tienes activa. La vulnerabilidad afecta a todas las versiones hasta la 3.3.7 inclusive.
Pasos para verificar tu versión
- Accede al panel de administración de WordPress y navega hasta
Plugins → Plugins instalados. - Localiza «ELEX WordPress HelpDesk & Customer Ticketing System» en la lista. La versión instalada aparece indicada en la propia entrada del plugin.
- Comprueba si la versión es igual o inferior a 3.3.7. Si es así, tu sitio está potencialmente expuesto a la vulnerabilidad de subida de archivos arbitrarios.
Además, ten en cuenta que la vulnerabilidad se explota a través de la función initMailPart, que procesa los adjuntos de correos electrónicos recibidos por IMAP. Por tanto, si tu plugin está configurado para conectar con un buzón de correo y procesar tickets entrantes, el riesgo es especialmente relevante.
No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. Si sospechas que tu sitio ha sido comprometido, revisa los archivos subidos recientemente en el directorio de subidas de WordPress (wp-content/uploads) y busca archivos con extensiones ejecutables (PHP, PHP5, PHTML, etc.) que no hayas subido tú.
Mitigación y actualización
La acción recomendada es clara: revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. Según las referencias de NVD, el fabricante ha publicado un changeset en el repositorio oficial de WordPress que modifica el archivo includes/Mailbox.php.
Medidas inmediatas
- Actualiza el plugin a la versión más reciente disponible. Las referencias de NVD indican que existe una versión 3.3.8 en el repositorio de WordPress. No obstante, verifica en el panel de administración de WordPress si hay una actualización disponible para el plugin.
- Si no puedes actualizar de inmediato, considera desactivar temporalmente la funcionalidad de procesamiento de adjuntos por IMAP si no es imprescindible para tu operación.
- Revisa los registros del servidor en busca de actividad sospechosa relacionada con subidas de archivos o conexiones IMAP inusuales.
Importante: La puntuación CVSS de esta vulnerabilidad es 9.8 (Crítica) con vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Esto significa que un atacante remoto no autenticado puede explotarla sin interacción del usuario, comprometiendo la confidencialidad, integridad y disponibilidad del sistema.
Checklist para administradores
- ☐ He identificado la versión exacta del plugin ELEX WordPress HelpDesk & Customer Ticketing System instalada en mi sitio.
- ☐ He confirmado si mi versión es igual o inferior a 3.3.7 (afectada).
- ☐ He comprobado en el panel de WordPress si hay una actualización disponible para el plugin.
- ☐ He aplicado la actualización a la versión corregida (3.3.8 o superior) si está disponible.
- ☐ He revisado el directorio
wp-content/uploadsen busca de archivos ejecutables no autorizados. - ☐ He revisado los registros del servidor en busca de actividad sospechosa relacionada con subidas de archivos.
- ☐ He verificado que la función de procesamiento de adjuntos IMAP está configurada de forma segura.
- ☐ He consultado el aviso oficial del fabricante y las referencias de NVD para obtener información actualizada.
- ☐ He informado a otros administradores del equipo sobre la existencia de esta vulnerabilidad crítica.
Preguntas frecuentes
¿Qué es CVE-2026-103768?
Es una vulnerabilidad crítica de subida de archivos arbitrarios en el plugin ELEX WordPress HelpDesk & Customer Ticketing System para WordPress, que afecta a todas las versiones hasta la 3.3.7 inclusive. Permite a atacantes no autenticados subir archivos potencialmente ejecutables a través de la función initMailPart, lo que puede derivar en ejecución remota de código.
¿Cómo se explota esta vulnerabilidad?
La vulnerabilidad se explota a través del procesamiento de adjuntos de correos electrónicos recibidos por IMAP. La función initMailPart no valida suficientemente el tipo de archivo al guardar los adjuntos, lo que permite a un atacante enviar un correo con un archivo malicioso que se guarda en el servidor y puede ejecutarse posteriormente.
¿Qué puntuación CVSS tiene esta vulnerabilidad?
La puntuación CVSS v3.1 es de 9.8 sobre 10, clasificada como CRÍTICA. El vector completo es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que es explotable remotamente sin autenticación y sin interacción del usuario.
¿Qué versión corrige la vulnerabilidad?
Según las referencias de NVD, el fabricante ha publicado un changeset que modifica el archivo includes/Mailbox.php y existe una versión 3.3.8 en el repositorio de WordPress. Se recomienda actualizar a la versión más reciente disponible.
¿Debo desactivar el plugin si no puedo actualizar?
Si no puedes aplicar la actualización de inmediato, es recomendable desactivar temporalmente la funcionalidad de procesamiento de adjuntos por IMAP, especialmente si el plugin está conectado a un buzón de correo. Como medida adicional, considera desactivar el plugin por completo si no es imprescindible para tu operación.
¿Existen indicadores de compromiso (IOC) publicados?
No se han extraído IOC estructurados de las fuentes consultadas. No deben inventarse. Se recomienda revisar los archivos subidos recientemente y los registros del servidor para detectar actividad anómala.
Fuentes oficiales
Para obtener información detallada y actualizada sobre esta vulnerabilidad, consulta las siguientes fuentes oficiales:
- NVD – CVE-2026-103768
- Changeset en WordPress Plugin Trac – Mailbox.php
- Comparativa de versiones 3.3.7 vs 3.3.8 en WordPress Plugin Trac
- Wordfence Threat Intelligence – CVE-2026-103768
Mantente atento a las actualizaciones del fabricante y aplica los parches de seguridad tan pronto como estén disponibles. La criticidad de esta vulnerabilidad hace que la exposición sea especialmente peligrosa para sitios WordPress que utilizan este plugin para la gestión de tickets de soporte.