PT-2026-29180 · WordPress · Everest Forms Pro+1
CVE-2026-3300
·
Publicado
2026-03-31
·
Atualizado
2026-06-28
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do Software Vulnerável e Versões Afetadas
Everest Forms Pro versões anteriores a 1.9.13
Description
Atacantes não autenticados podem realizar a execução remota de código via injeção de código PHP no plugin Everest Forms Pro para WordPress. O problema reside na função
process filter() do Calculation Addon, que concatena valores de campos de formulário enviados pelo usuário em uma string de código PHP e os passa para a função eval() sem o escape adequado. Embora a função sanitize text field() seja aplicada, ela não escapa aspas simples e outros caracteres críticos ao contexto de código PHP. Isso permite que atacantes executem código PHP arbitrário ao enviar valores manipulados em qualquer campo de formulário do tipo string (como texto, e-mail, URL, seleção ou rádio) quando um formulário utiliza o recurso de Cálculo Complexo. Aproximadamente 4.000 instalações ativas estão potencialmente afetadas. A exploração no mundo real foi confirmada, com mais de 29.300 tentativas bloqueadas relatadas, resultando na criação de contas de administrador não autorizadas, implantação de webshells e controle total dos sites.Recommendations
Atualize o Everest Forms Pro para a versão 1.9.13 ou posterior.
Como medida de mitigação temporária, implante uma regra de ModSecurity para bloquear vetores de injeção conhecidos.
Audite os logs do servidor em busca de requisições POST anômalas para os endpoints do plugin que contenham chamadas de funções PHP, como
eval, base64 decode, system ou exec, nos dados dos campos do formulário.
Verifique os diretórios wp-content/uploads e wp-content/plugins/everest-forms-pro em busca de webshells não autorizados.
Revise a lista de contas de administrador para identificar quaisquer adições não autorizadas.Correção
RCE
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Calculation Addon
Everest Forms Pro