CVE-2026-3642 in e-shot Plugin
Сводка
по VulDB • 30.06.2026
В плагине для WordPress e-shot™ Form Builder присутствует уязвимость Missing Authorization (Отсутствие авторизации) во всех версиях вплоть до 1.0.2 включительно. Обработчик AJAX `eshot_form_builder_update_field_data()` не содержит проверок прав доступа (`current_user_can()`) и верификации nonce (`check_ajax_referer()`/`wp_verify_nonce()`). Функция зарегистрирована через хук `wp_ajax_`, что делает её доступной для любого аутентифицированного пользователя. Это позволяет злоумышленникам с уровнем доступа Subscriber (Подписчик) и выше изменять конфигурации полей формы, включая обязательность заполнения, видимость поля и предпочтения отображения формы, посредством действия AJAX `eshot_form_builder_update_field_data`.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.