CVE-2026-3296 in Everest Forms Plugin
Résumé
par VulDB • 24/05/2026
Le plugin Everest Forms pour WordPress est vulnérable à une injection d'objets PHP dans toutes les versions jusqu'à la 3.4.3 incluse, via la désérialisation d'entrées non fiables provenant des métadonnées de saisie de formulaire. Cela est dû au fichier html-admin-page-entries-view.php qui appelle la fonction native PHP unserialize() sur les valeurs de métadonnées d'entrée stockées sans passer le paramètre allowed_classes. Cela permet aux attaquants non authentifiés d'injecter une charge utile d'objet PHP sérialisé via n'importe quel champ de formulaire public d'Everest Forms. La charge utile survit à la sanitisation par sanitize_text_field() (les caractères de contrôle de sérialisation ne sont pas supprimés) et est stockée dans la table de base de données wp_evf_entrymeta. Lorsqu'un administrateur consulte les entrées ou affiche une entrée individuelle, l'appel unsafe unserialize() traite les données stockées sans restrictions de classe.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.