ELEX WordPress HelpDesk · central de atendimento e tickets
Um invasor sem login consegue mandar por e-mail um arquivo que vira código executável no servidor, o que permite tomar o site.
Você mesmo
- Atualize o ELEX HelpDesk para a 3.3.8 ou superior.
- Se não puder agora, desative a importação de tickets por e-mail (IMAP) ou o plugin.
Seu dev ou hospedagem
- Procurar .php, .phtml ou outros executáveis inesperados em wp-content/uploads.
- Rodar varredura completa com Wordfence ou similar.
Detalhes técnicos: O plugin ELEX WordPress HelpDesk & Customer Ticketing System, até a versão 3.3.7, não valida corretamente o tipo dos anexos recebidos por IMAP (função initMailPart) e os grava no diretório de uploads. Com isso, um atacante sem login pode enviar um e-mail com arquivo potencialmente executável e obter execução de código no servidor (CVSS 9.8, segundo a Wordfence). Ainda não há relato de exploração ativa, mas falhas desse tipo costumam ser exploradas rapidamente após a divulgação.
Dados técnicos
CVE-2026-103768 · CVSS 9,8 · Fonte: LocateRisk / Wordfence