CVE-2026-3300
Təsvir
WordPress üçün nəzərdə tutulmuş Everest Forms Pro plagini 1.9.12 versiyası daxil olmaqla bütün versiyalarda PHP Code Injection vasitəsilə uzaqdan kodun icrasına (Remote Code Execution) qarşı həssasdır. Bu, Calculation Addon-un process_filter() funksiyasının istifadəçi tərəfindən göndərilən forma sahəsi dəyərlərini düzgün ekranlaşdırmadan (escaping) PHP kod sətrinə birləşdirib eval() funksiyasına ötürməsi səbəbindən baş verir. Giriş məlumatlarına tətbiq edilən sanitize_text_field() funksiyası tək dırnaqları və ya digər PHP kod kontekst simvollarını ekranlaşdırmır. Bu, autentifikasiya olunmamış hücumçulara, bir forma "Complex Calculation" funksiyasından istifadə etdikdə, hər hansı sətir tipli forma sahəsinə (mətn, e-poçt, URL, seçimlər, radio düymələri) xüsusi hazırlanmış dəyər daxil etməklə serverdə ixtiyari PHP kodunu inyeksiya etmək və icra etmək imkanı verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| WPEverest Everest Forms Pro | v ≤ 1.9.12 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.