CVE-2026-3642 in e-shot Plugin
Riassunto
di VulDB • 15/08/2026
Il plugin per WordPress e-shot™ form builder è vulnerabile a Missing Authorization in tutte le versioni fino alla 1.0.2 inclusa. Il gestore AJAX `eshot_form_builder_update_field_data()` non prevede alcun controllo delle capacità (current_user_can()) né verifica del nonce (check_ajax_referer()/wp_verify_nonce()). La funzione è registrata tramite l'hook wp_ajax_, rendendola accessibile a qualsiasi utente autenticato. Ciò consente agli attaccanti autenticati, con accesso di livello Subscriber o superiore, di modificare le configurazioni dei campi del modulo, inclusi lo stato obbligatorio, la visibilità dei campi e le preferenze di visualizzazione del modulo, tramite l'azione AJAX `eshot_form_builder_update_field_data`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.