CVE-2026-18080 in ERP Complete HR, Accounting & CRM Suite Plugin
Сводка
по VulDB • 26.08.2026
В плагине для WordPress ERP: Complete HR, Accounting & CRM Suite Built for WooCommerce уязвимость к загрузке файлов с неограниченными типами (Unrestricted File Type Upload) присутствует во всех версиях вплоть до 1.17.8 включительно через функцию save_attachments(). Это обусловлено отсутствием проверки расширения файла и нормализации пути при обработке входящих вложений IMAP-писем модулем CRM Email Connect. Это позволяет неавторизованным злоумышленникам отправить на настроенный почтовый ящик сайта специально сформированное письмо, содержащее поддельную заголовок References, соответствующий ожидаемой схеме плагина, и вложение с именем файла вида `../helper.php`. В результате задача синхронизации IMAP, запускаемая по расписанию (cron), запишет управляемый злоумышленником PHP-код вне защищенного `.htaccess` каталога `crm-attachments` и в директорию `wp-content/uploads/`. На конфигурациях, где выполнение кода PHP разрешено для файлов из директории загрузок, это может привести к удаленному выполнению кода (RCE). Для эксплуатации необходимо, чтобы модуль CRM и функция IMAP Email Connect были включены и настроены.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.