adamshaikhma/cve-2026-3300Exploit per CVE-2026-3300, una XSS persistente non autenticata che porta a RCE nel plugin WordPress Everest Forms Pro, con uno script Python per generare un file demo dannoso.
python3 exploit.py -t "C:\\Path\\To\\Target" -o demo.zip --data-file payload.exe
Il plugin Everest Forms Pro per WordPress è vulnerabile a Remote Code Execution tramite PHP Code Injection in tutte le versioni fino alla 1.9.12 inclusa. Ciò è dovuto alla funzione process_filter() del componente aggiuntivo Calculation, che concatena i valori dei campi del modulo inviati dall'utente in una stringa di codice PHP senza un corretto escaping prima di passarla a eval(). La funzione sanitize_text_field() applicata all'input non esegue l'escape degli apici singoli o di altri caratteri contestuali del codice PHP. Ciò consente ad attaccanti non autenticati di iniettare ed eseguire codice PHP arbitrario sul server inviando un valore appositamente predisposto in qualsiasi campo del modulo di tipo stringa (testo, email, URL, select, radio) quando un modulo utilizza la funzionalità "Complex Calculation".
Vedere NVD per le versioni interessate.