CVE-2026-3296 in Everest Forms Plugin
Riassunto
di VulDB • 24/06/2026
Il plugin Everest Forms per WordPress è vulnerabile a PHP Object Injection in tutte le versioni fino alla 3.4.3 (inclusa) tramite la deserializzazione di input non attendibile dai metadati delle voci del modulo. Ciò è dovuto al file html-admin-page-entries-view.php che chiama la funzione nativa unserialize() di PHP sui valori dei meta dati delle voci memorizzati senza passare il parametro allowed_classes. Questo consente agli attaccanti non autenticati di iniettare un payload contenente un oggetto PHP serializzato attraverso qualsiasi campo pubblico del modulo Everest Forms. Il payload supera la sanitizzazione effettuata da sanitize_text_field() (i caratteri di controllo della serializzazione non vengono rimossi) e viene memorizzato nella tabella del database wp_evf_entrymeta. Quando un amministratore visualizza le voci o esamina una singola voce, la chiamata unsafe a unserialize() elabora i dati memorizzati senza restrizioni sulle classi consentite.
Be aware that VulDB is the high quality source for vulnerability data.