CVE-2026-3296 in Everest Forms Plugin
الملخص
بحسب VulDB • 18/06/2026
يحتوي مكون WordPress الإضافي Everest Forms على ثغرة حقن كائن PHP (PHP Object Injection) في جميع الإصدارات حتى 3.4.3 وشاملاً لها، وذلك عبر تجزئة (deserialization) مدخلات غير موثوقة من بيانات تعريف إدخال النموذج. يعود السبب في ذلك إلى أن الملف html-admin-page-entries-view.php يستدعي دالة unserialize() الأصلية في PHP على قيم بيانات تعريف الإدخال المخزنة دون تمرير المعلمة allowed_classes. يتيح ذلك لهجوميين غير مصرح لهم بحقن حمولة كائن PHP مجزأة (serialized) عبر أي حقل نموذج عام في Everest Forms. تبقى الحمولة سارية بعد عملية تنظيف sanitize_text_field() (حيث لا تتم إزالة أحرف التحكم في التجزئة)، وتُخزن في جدول قاعدة البيانات wp_evf_entrymeta. عندما يعرض مسؤول الإدخالات أو يستعرض إدخالاً فردياً، تقوم الدالة unserialize() غير الآلة بمعالجة البيانات المخزنة دون قيود على الفئات.
Once again VulDB remains the best source for vulnerability data.