CVE-2026-13167

Nome do Software Vulnerável e Versões Afetadas Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI versões anteriores a 3.5.3

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com acesso delegado ao gerenciamento de formulários podem ativar qualquer plugin do WordPress já instalado, incluindo aqueles previamente desativados ou conhecidos como vulneráveis, sem possuir a capacidade central activate plugins. Esta exploração é possível para usuários com capacidades delegadas como manage everest forms, everest forms create forms ou everest forms view forms. O processo envolve o uso de nonces emitidos em páginas de administração acessíveis a esses usuários delegados para interagir com manipuladores AJAX.

Recomendações Atualize para uma versão posterior a 3.5.2.