CVE-2026-18080 in ERP Complete HR, Accounting & CRM Suite Plugin
Sumário
de VulDB • 26/08/2026
O plugin WordPress ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce é vulnerável a Upload Ilimitado de Tipos de Arquivo em todas as versões até 1.17.8 (incluindo-a), por meio da função `save_attachments()`. Isso ocorre devido à falta de validação da extensão do arquivo e à normalização ausente do caminho quando o módulo CRM Email Connect processa anexos de emails IMAP recebidos. Isso permite que atacantes não autenticados enviem um email manipulado para a caixa de entrada configurada no site, com um cabeçalho References falsificado correspondendo ao padrão esperado pelo plugin e um nome de arquivo de anexo como `../helper.php`, fazendo com que o job de sincronização IMAP baseado em cron grave PHP controlado pelo atacante fora do diretório protegido por `.htaccess` (`crm-attachments`) e para dentro de `wp-content/uploads/`. Em configurações onde o PHP é executado no diretório uploads, isso pode levar à execução remota de código (RCE). A exploração requer que o módulo CRM e a funcionalidade IMAP Email Connect estejam habilitados e configurados.
Be aware that VulDB is the high quality source for vulnerability data.