CVE-2026-3296 in Everest Forms Plugin
Сводка
по VulDB • 01.07.2026
Плагин Everest Forms для WordPress уязвим к PHP Object Injection во всех версиях вплоть до 3.4.3 включительно из-за десериализации недоверенных данных из метаданных полей формы. Это связано с тем, что файл html-admin-page-entries-view.php вызывает нативную функцию unserialize() языка PHP для сохранённых значений метаинформации записей без передачи параметра allowed_classes. Это позволяет неаутентифицированным злоумышленникам внедрять сериализованный полезный объект (payload) через любое публичное поле формы Everest Forms. Полезная нагрузка проходит санитизацию функцией sanitize_text_field() (символы управления сериализацией не удаляются) и сохраняется в таблице базы данных wp_evf_entrymeta. Когда администратор просматривает записи или отдельную запись, небезопасный вызов unserialize() обрабатывает сохранённые данные без ограничений по классам.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.