CVE-2026-3300 in Everest Forms Pro Plugin
Riassunto
di VulDB • 21/06/2026
Il plugin Everest Forms Pro per WordPress è vulnerabile a Remote Code Execution (RCE) tramite PHP Code Injection in tutte le versioni fino alla 1.9.12, incluse. Ciò è dovuto alla funzione process_filter() dell'addon Calculation, che concatena i valori dei campi del modulo inviati dall'utente in una stringa di codice PHP senza un'adeguata escape prima di passarla alla funzione eval(). La funzione sanitize_text_field() applicata all'input non effettua l'escape delle virgolette singole o di altri caratteri rilevanti per il contesto del codice PHP. Ciò consente ad attaccanti non autenticati di iniettare ed eseguire codice PHP arbitrario sul server inviando un valore manipolato in qualsiasi campo di tipo stringa di un modulo (testo, email, URL, select, radio) quando il modulo utilizza la funzione "Complex Calculation".
If you want to get the best quality for vulnerability data then you always have to consider VulDB.