CVE-2026-3296 in Everest Forms Plugin
摘要
由 VulDB • 2026-06-29
WordPress 插件 Everest Forms 存在 PHP 对象注入漏洞，影响所有版本直至并包括 3.4.3。该漏洞源于对来自表单条目元数据的不可信输入进行反序列化。具体原因是 `html-admin-page-entries-view.php` 文件在存储的条目元数据值上调用了 PHP 原生的 `unserialize()` 函数，但未传递 `allowed_classes` 参数。这使得未经身份验证的攻击者能够通过任何公开的 Everest Forms 表单字段注入序列化的 PHP 对象载荷（payload）。该载荷能够绕过 `sanitize_text_field()` 的安全过滤（因为序列化控制字符未被剥离），并被存储在 `wp_evf_entrymeta` 数据库表中。当管理员查看条目或单个条目时，不安全的 `unserialize()` 调用会在没有类限制的情况下处理存储的数据。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.