ELEX WordPress HelpDesk eklentisinde kimlik doğrulamasız dosya yükleme açığı

ELEX WordPress HelpDesk & Customer Ticketing System eklentisinde, kimlik doğrulaması gerektirmeyen bir arbitrary file upload açığı tespit edildi. CVE-2026-103768 olarak izlenen açık, eklentinin 3.3.7 ve önceki tüm sürümlerini etkiliyor ve yüklenen dosyaların çalıştırılabilmesi nedeniyle remote code execution riskine yol açabiliyor.

NVD kaydına göre sorun, IMAP e-posta ekleri kaydedilirken kullanılan initMailPart işlevindeki yetersiz dosya türü doğrulamasından kaynaklanıyor. Bu durum, kimliği doğrulanmamış saldırganların dosya yüklemesine olanak tanıyor; yüklenen dosyanın çalıştırılabilir olması halinde sunucuda kod çalıştırılması mümkün hale gelebiliyor.

Kaynak kayıtlarda açığın aktif olarak istismar edildiğine dair bilgi bulunmuyor. Etkilenen sürümler, WordPress yöneticileri ve web uygulaması ekipleri açısından özellikle eklentinin e-posta eki işleme akışının oluşturduğu doğrudan saldırı yüzeyi nedeniyle önem taşıyor.

-
Kaynak: https://nvd.nist.gov/vuln/detail/CVE-2026-103768

Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.