CVE-2026-119077

Nome do Software Vulnerável e Versões Afetadas ELEX WordPress HelpDesk & Customer Ticketing System versões anteriores a 3.4.0

Descrição Existe um problema que permite a Injeção de Objeto PHP, uma técnica onde entradas não confiáveis são passadas para a função unserialize(), podendo levar à execução remota de código. A falha ocorre através do parâmetro form, especificamente no campo ticket label da string de formulário codificada em URL. Isso é causado pela falta de autenticação no lado do servidor e pela ausência de uma lista de permissões de classes durante a desserialização. A única proteção é um nonce, que é exposto publicamente em qualquer página que utilize o shortcode [wsdesk support]. Um invasor não autenticado pode obter o valor wsdesk nonce por meio de uma requisição GET a uma página pública e, em seguida, executar código no servidor via uma requisição POST.

Recomendações Atualize o ELEX WordPress HelpDesk & Customer Ticketing System para a versão 3.4.0 ou posterior.