Everest Forms est vulnérable à la suppression de fichiers en raison d’une validation insuffisante du chemin dans `remove_csv_file_after_email_send`. La faille peut permettre à un attaquant non authentifié de supprimer des fichiers sous `wp-content/uploads`, mais son exploitation exige l’extension Save-and-Continue active et le réglage « Disable storing entry information » activé sur le formulaire concerné.
Source : NVD — CVE-2026-120513
Analyse technique
La suppression de fichiers peut entraîner une perte de contenu téléversé. Dans certaines conditions, supprimer `uploads/.htaccess` peut aussi réactiver l’exécution de PHP dans ce répertoire.
Impact, versions et correctif
Action recommandée
Vérifier l’utilisation de Save-and-Continue et le réglage de stockage des entrées; appliquer une mise à jour du plugin lorsqu’un correctif est disponible.
Sources
Priorisation DFS : P3 · 1 source(s).