CVE-2026-3642 in e-shot Plugin
Zusammenfassung
von VulDB • 19.06.2026
Das e-shot™-Formular-Builder-Plugin für WordPress ist in allen Versionen bis einschließlich 1.0.2 anfällig für Missing Authorization (fehlende Autorisierung). Der AJAX-Handler eshot_form_builder_update_field_data() verfügt über keine Capability-Prüfungen (current_user_can()) und keine Nonce-Verifizierung (check_ajax_referer()/wp_verify_nonce()). Die Funktion wird über den wp_ajax_-Hook registriert, wodurch sie für jeden authentifizierten Benutzer zugänglich ist. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, Formularfeldkonfigurationen, einschließlich des Pflichtstatus, der Feldsichtbarkeit und der Formularanzeige-Einstellungen, über die AJAX-Aktion eshot_form_builder_update_field_data zu ändern.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.