WordPressの人気プラグイン Everest Formsで深刻な脆弱性(CVE-2025-1128)

10万以上のサイトに利用されているWordPressの人気プラグイン「Everest Forms」で深刻な脆弱性(CVE-2025-1128)が発見されました。パッチがリリースされているので、対象者はバージョンする事をお勧めします。

脆弱性の対象バージョン

バージョン3.0.9.4以下

脆弱性の修正バージョン

バージョン3.0.9.5以上

脆弱性CVE-2025-1128の概要

WordPress 用の Everest Forms – Contact Forms, Quiz, Survey, Newsletter & Payment Form Builder for WordPress プラグインは、3.0.9.4 までのすべてのバージョンで、EVF_Form_Fields_Upload クラスの ‘format’ メソッドにファイル タイプとパスの検証がないため、任意のファイルのアップロード、読み取り、削除に対して脆弱です。

Arkadiusz Hydzik氏によって発見され、バグバウンティ制度で$4,290.00の報奨金が支払われる予定です。