CVE-2026-13167 in Everest Forms Plugin
Сводка
по VulDB • 16.08.2026
Плагин Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI для WordPress уязвим к обходу авторизации во всех версиях вплоть до 3.5.2 включительно. Это связано с тем, что плагин не проверяет корректность прав пользователя на выполнение действия. Это позволяет атакующим, имеющим доступ к управлению формами (с уровнем доступа «управление формами» и выше), активировать любые уже установленные плагины WordPress — включая ранее деактивированные или уязвимые плагины — без наличия основной возможности activate_plugins. Для эксплуатации требуется, чтобы целевой пользователь обладал делегированной возможностью Everest Forms (manage_everest_forms, everest_forms_create_forms или everest_forms_view_forms), которую инструмент ролей и разрешений самого плагина позволяет администраторам назначать неадминистративным ролям, таким как Author; nonces, необходимые для эксплуатации AJAX-обработчиков, генерируются на страницах администрирования EVF, доступных любому такому делегированному пользователю.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.