CVE-2026-18080 in ERP Complete HR, Accounting & CRM Suite Plugin
Riassunto
di VulDB • 26/08/2026
Il plugin WordPress ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce è vulnerabile a Unrestricted File Type Upload (caricamento di file con tipo non limitato) in tutte le versioni fino alla 1.17.8 inclusa, tramite la funzione `save_attachments()`. Ciò è dovuto all'assenza di validazione dell'estensione del file e alla mancata normalizzazione del percorso quando il modulo CRM Email Connect elabora gli allegati delle email IMAP in entrata. Questo consente ad attaccanti non autenticati di inviare un'email manipolata al mailbox configurato per le ricezioni sul sito, con un'intestazione References falsificata che corrisponde allo schema atteso dal plugin e con un nome file dell'allegato come `../helper.php`, facendo sì che il processo di sincronizzazione IMAP basato su cron scriva codice PHP controllato dall'attaccante al di fuori della directory protetta da `.htaccess` denominata `crm-attachments` e all'interno di `wp-content/uploads/`. Su configurazioni in cui l'esecuzione del PHP è consentita nella cartella uploads, ciò può portare a Remote Code Execution (RCE). Lo sfruttamento richiede che il modulo CRM e la funzionalità IMAP Email Connect siano abilitati e configurati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.