Everest Forms Pro 的一个严重漏洞被利用来控制 WordPress 网站

Rhinoer
Rhinoer

犀牛安全

2026年6月15日 00:00
北京

在小说阅读器读本章

去阅读

黑客正在积极利用 Everest Forms Pro 插件中的一个严重漏洞 (CVE-2026-3300)，该漏洞允许他们完全控制 WordPress 网站。

该安全问题影响插件的 1.9.12 及更早版本，攻击者无需身份验证即可利用此问题在服务器上执行任意代码。

Everest Forms Pro 是 WordPress 表单构建器插件 Everest Forms 的一个商业附加组件。它用于创建联系表单、注册表单、支付表单和其他自定义应用程序表单。

CVE-2026-3300 漏洞存在于插件的“复杂计算”功能中，该功能会接收通过表单字段提交的值，并将其插入到 PHP 代码字符串中。然后，它使用 PHP 的 eval() 函数执行生成的代码。

尽管用户输入会经过“sanitize\_text\_field()”函数处理，但该函数不会转义单引号（'）或其他影响 PHP 语法的字符。

因此，攻击者可以关闭预期的字符串，注入任意 PHP 代码，并注释掉剩余的生成代码，从而在服务器上执行代码。

来自 Wordfence 防火墙和 WordPress 恶意软件扫描器的遥测数据显示，该漏洞正在被恶意利用来创建非法管理员帐户。

Wordfence 的一份报告解释说：“攻击者向文本字段提交一个以单引号开头的值，以结束包装字符串字面量，然后是一个 PHP 语句，该语句调用 wp\_insert\_user() 创建一个用户名为 'diksimarina' 的新管理员帐户。”

末尾的 // 注释标记确保生成的其余 PHP 代码（包括结束引号）都被视为注释，而不会导致语法错误。

当表单被处理并进行计算时，注入的 PHP 代码就会执行，从而创建一个恶意管理员帐户。

管理员级别的访问权限赋予攻击者对被入侵网站执行高风险操作的完全权力，包括修改内容、安装插件和主题、植入后门和 webshell 以及访问私有数据库。

研究人员 h0xilo 于 2 月通过 Wordfence 提交了 CVE-2026-3300 漏洞，3 月 18 日，Everest Forms 的开发者发布了一个补丁来解决该问题。

根据 Wordfence 的数据，攻击活动从 4 月 13 日开始，防火墙拦截了超过 29300 次攻击尝试。

Wordfence 表示，攻击尝试主要来自两个 IP 地址：202.56.2[.]126 和 209.146.60.26，并建议防御者阻止它们。

然而，Wordfence 的报告提供了几个违规 IP 地址作为入侵指标 (IOC)。

建议网站管理员检查日志文件和管理员帐户，查看是否有任何可疑活动，特别是包含字符串“diksimarina”的情况。

信息来源：BleepingComputer