漏洞速览
- 漏洞编号：
CVE-2026-3296 - 风险评分：
9.8（严重） - 首次披露：2026-04-07
- 最近更新：2026-04-07
- 软件类型：插件
- 软件标识：
everest-forms - 受影响版本：<= 3.4.3
- 修复版本：3.4.4
- 是否已修复：是
漏洞详情
Everest Forms 插件存在 PHP 对象注入漏洞，影响至 3.4.3 的所有版本。 漏洞源于 html-admin-page-entries-view.php 文件在处理表单条目元数据时，直接调用 PHP 原生 unserialize() 函数对已存储的条目元值进行反序列化，且未传递 allowed_classes 参数进行类过滤。 这使得未认证的攻击者可通过任何公开的 Everest Forms 表单字段注入序列化后的 PHP 对象载荷。
该载荷能够绕过 sanitizetextfield() 的过滤（序列化控制字符不会被清除），最终以危险状态存入 wpevfentrymeta 数据表。 当管理员查看条目列表或单个条目详情时，不安全的 unserialize() 调用会以无类限制的方式处理这些已存储的数据，从而触发远程代码执行等严重后果。
影响与风险
- 漏洞类型：Unauthenticated PHP Object Injection via Form Entry Metadata
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：0xsabre – Mobikwik
修复建议
- 按官方建议执行修复：更新至 3.4.4 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
