Atores de ameaças estão explorando ativamente uma falha crítica de segurança no plugin Everest Forms Pro para WordPress, que possui cerca de 4.000 instalações ativas
Atores de ameaças estão explorando ativamente uma falha crítica de segurança no plugin Everest Forms Pro para WordPress, que possui cerca de 4.000 instalações ativas. A vulnerabilidade, identificada como CVE-2026-3300, permite a execução de código arbitrário, levando a um comprometimento completo do site. Um patch para a falha foi disponibilizado.
Detalhes Técnicos
A vulnerabilidade é uma falha de execução de código remoto via injeção de código PHP, afetando todas as versões do plugin até a 1.9.12.
A falha ocorre devido à função process_filter() do addon de cálculo concatenar valores de campos de formulário enviados pelo usuário em uma string de código PHP sem escape adequado antes de passar para eval().
Isso permite que atacantes não autenticados injetem e executem código PHP arbitrário no servidor, enviando um valor criado em qualquer campo de formulário do tipo string quando um formulário usa o recurso "Complex Calculation".
Ações Recomendadas
Atualizar o plugin Everest Forms Pro para a versão mais recente disponível.
Verificar se o patch foi aplicado corretamente.
Monitorar os logs do servidor para detectar atividades suspeitas.
Implementar medidas de segurança adicionais, como firewalls e sistemas de detecção de intrusão.
