PT-2026-31067
CVE-2026-3296
·
تاريخ النشر
2026-04-07
·
تاريخ التحديث
2026-10-22
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
المكوّن الإضافي Everest Forms لـ WordPress حتى الإصدار 3.4.3 ضمناً
الوصف
يُعتبر المكون الإضافي Everest Forms لـ WordPress عرضة لـ ”حقن كائنات PHP“ (PHP Object Injection) بسبب عملية إزالة التسلسل غير الآمنة للمدخلات غير الموثوق بها من بيانات تعريف إدخالات النماذج. يستخدم الملف
html-admin-page-entries-view.php دالة unserialize() في PHP على قيم بيانات تعريف الإدخالات المخزنة دون تحديد الفئات المسموح بها. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن حمولة كائن PHP مُسلسل عبر أي حقل عام في نماذج Everest Forms. يتم تخزين الحمولة في جدول قاعدة البيانات wp evf entrymeta وتتم معالجتها عندما يقوم المسؤول بعرض الإدخالات. لا تقوم دالة sanitize text field() بإزالة أحرف التحكم في التسلسل، مما يسمح للحمولة بالبقاء بعد عملية التنقية.التوصيات
قم بتحديث المكون الإضافي Everest Forms إلى إصدار أحدث من 3.4.3.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾