Qué es y cómo funciona la falla
El plugin ELEX WordPress HelpDesk & Customer Ticketing System (WSDesk) es vulnerable a Inyección de Objetos PHP (CWE-502). La falla reside en el parámetro form, específicamente en el campo ticket_label que puede ser controlado por un atacante. El sistema no valida correctamente la autenticación del lado del servidor y carece de una lista de clases permitidas durante la deserialización de datos.
El único mecanismo de protección es un nonce que el plugin emite públicamente en cualquier página que contenga el shortcode [wsdesk_support]. Un atacante puede primero realizar una petición GET anónima a una página pública para obtener este valor, y luego completar el ataque con una sola petición POST sin autenticación, logrando la ejecución remota de código.
Productos y versiones afectadas
El plugin WSDesk en todas las versiones hasta la 3.3.9 inclusive está afectado.
Impacto y probabilidad de explotación
La vulnerabilidad tiene una puntuación CVSS de 9.8 (Crítica). Permite a atacantes no autenticados ejecutar código arbitrario en el servidor, comprometiendo completamente el sitio web.
- Existe al menos una prueba de concepto (PoC) pública disponible en GitHub.
- La métrica EPSS estima una probabilidad del 1.3% de explotación en los próximos 30 días, ubicándose en el percentil 72% (alta probabilidad relativa).
- Actualmente, Shodan no reporta hosts expuestos con esta vulnerabilidad detectada, lo que sugiere un volumen bajo de objetivos directamente visibles en internet.
La técnica MITRE ATT&CK asociada es T1190 – Exploit Public-Facing Application.
Qué hacer
Los administradores de sitios WordPress que utilicen este plugin deben actualizarlo inmediatamente a una versión posterior a la 3.3.9, en cuanto el desarrollador publique un parche. Mientras tanto, se recomienda revisar si el plugin es estrictamente necesario y considerar su desactivación temporal.
| CVE | CVE-2026-119077 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 1.3% en 30 días (percentil 72) |
| CWE | CWE-502 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.