CVE-2026-3300
Açıklama
WordPress için geliştirilen Everest Forms Pro eklentisinin 1.9.12 dahil tüm sürümleri, PHP Kod Enjeksiyonu aracılığıyla Uzaktan Kod Çalıştırma zafiyetine sahiptir. Bu durum, Calculation Addon bileşenindeki process_filter() fonksiyonunun, kullanıcı tarafından gönderilen form alanı değerlerini uygun şekilde kaçırmadan bir PHP kod dizisine eklemesi ve ardından bunu eval() fonksiyonuna iletmesinden kaynaklanmaktadır. Girdilere uygulanan sanitize_text_field() fonksiyonu, tek tırnakları veya diğer PHP kod bağlamı karakterlerini kaçırmamaktadır. Bu durum, bir formun "Complex Calculation" özelliğini kullandığı senaryolarda, kimliği doğrulanmamış saldırganların herhangi bir dize türündeki form alanına (metin, e-posta, URL, seçim, radyo düğmesi) özel olarak hazırlanmış bir değer göndererek sunucu üzerinde rastgele PHP kodu enjekte etmesini ve çalıştırmasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| WPEverest Everest Forms Pro | v ≤ 1.9.12 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.