CVE-2026-115483

Nome do Software Vulnerável e Versões Afetadas Everest Forms versões anteriores a 3.6.4

Descrição Um problema de Leitura Arbitrária de Arquivos existe através da função attach entry files(). A função anexa qualquer valor de campo de entrada cujo meta key corresponda a /signature / ao e-mail de notificação após realizar apenas uma verificação file exists(), sem validar ou restringir o caminho. Isso permite que invasores não autenticados leiam arquivos arbitrários do servidor, como o wp-config.php. A exploração requer o add-on Everest Forms Pro, um formulário com a configuração Attach Files ativada, um campo com um meta key correspondente a /signature / e a notificação roteada para um endereço de e-mail controlado pelo invasor.

Recomendações Atualize para a versão 3.6.4 ou posterior. Como solução temporária, restrinja o uso da função attach entry files() ou desative a configuração Attach Files nas notificações por e-mail.