VULNERABILIDADDetectada 06 NOV · 08:51

CVE-2026-89101 Referencia directa insegura en Everest Forms hasta 3.6.2 permite divulgar y borrar entradas y formularios

La función get_entry carece de validación sobre una clave controlada por el usuario, lo que permite a atacantes autenticados con acceso custom o superior ver, leer y borrar permanentemente formularios y entradas de otros usuarios, incluidos datos personales enviados por formularios públicos.

6.5MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,4 % · percentil 35
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

wpeverest Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI
hasta 3.6.2

Qué hacer

Verificá si usás Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadAlta
IntegridadNinguna
DisponibilidadNinguna

Descripción original

The Everest Forms – Contact Form, Payment Form, Quiz, Survey & Custom Form Builder with AI plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 3.6.2 via the get_entry due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with custom-level access and above, to view, read, and permanently delete forms and entries belonging to any other user — including personally identifiable information submitted through public contact and lead forms — regardless of form ownership.

Referencias (12)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.