CVE-2026-18080 in ERP Complete HR, Accounting & CRM Suite Plugin
Zusammenfassung
von VulDB • 26.08.2026
Das WordPress-Plugin „ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce“ ist in allen Versionen bis einschließlich 1.17.8 anfällig für unbegrenzte Datei-Typ-Auslastungen (Unrestricted File Type Upload) über die Funktion `save_attachments()`. Dies liegt an der fehlenden Validierung von Dateierweiterungen und der fehlenden Pfadnormalisierung, wenn das CRM Email Connect-Eingangs-IMAP-E-Mail-Anhänge verarbeitet. Dadurch ist es nicht authentifizierten Angreifern möglich, eine manipulierte E-Mail an die konfigurierte Eingangspostfach der Website zu senden, mit einem gefälschten References-Header, der dem erwarteten Muster des Plugins entspricht, und einer Anhangsdateiname wie `../helper.php`, wodurch der cron-basierte IMAP-Sync-Job angreiferkontrolliertes PHP außerhalb des durch .htaccess geschützten Verzeichnisses `crm-attachments` in das Verzeichnis `wp-content/uploads/` schreibt. Auf Konfigurationen, bei denen PHP im Uploads-Verzeichnis ausgeführt wird, kann dies zu Remote Code Execution (RCE) führen. Die Ausnutzung erfordert, dass das CRM-Modul und die IMAP Email Connect-Funktion aktiviert und konfiguriert sind.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.