Vormi teavitus ei tohiks saata serveri privaatseid faile
Vormi teavitus peaks saatma sulle paringu, võib-olla koos kliendi lisatud dokumendiga. Veebiserveri privaatne fail ei peaks selle kirjaga kaasa minema.
Just selles seisneb Everest Formsi turvanõrkus CVE-2026-115483. Teatud lisamoodulite, vormiväljade ja meiliseadete kombinatsiooniga võib teavituse manusesse sattuda serverifail, näiteks wp-config.php. Kui kiri saadetakse külastaja sisestatud aadressile, võib fail jõuda vale inimeseni.
Kõigil Everest Formsi kasutavatel lehtedel sellist seadistust pole. Aga selle vea puhul ei piisa ka versioonile 3.6.3 uuendamisest. Vaja on põhiplugina Everest Forms versiooni 3.6.4 või uuemat toetatud väljalaset.
Mida see manuste viga teeb?
Wordfence avaldas hoiatuse 10. novembril 2026. Selle järgi võimaldab viga ilma sisse logimata lugeda suvalisi faile ning puudutab Everest Formsi versioone kuni 3.6.3. CVSS-i hinne on 7,5.
Viga asub funktsioonis attach_entry_files, mis kogub teavitusmeilidele lisatavaid faile. Mõjutatud koodiharus võetakse vastu vormiväljade väärtusi, mille metaandmete võtmes sisaldub signature_. Kontrollitakse faili olemasolu, kuid puudub piirang, mis hoiaks valitud faili lubatud asukohas.
Lihtsamalt öeldes: faili olemasolu ei tähenda veel, et vormi kaudu tohiks seda kellelegi meilida. Need on kaks eri asja.
Loetav wp-config.php võib paljastada andmebaasi kasutajatunnused ja WordPressi autentimise salaväärtused ehk soolad. Tundlik info. Samas ei tähenda nende andmete valdamine automaatselt võimalust andmebaasiga väljastpoolt ühenduda ega tõesta, et keegi on lehe üle võtnud.
Milliste vormide seadistust kontrollida?
Need tingimused loevad koos. Ainult tasuta pluginaga töötavat lihtsat kontaktivormi ei saa automaatselt serverifaile lekitavaks nimetada.
Kontrolli nelja asja:
- Pro funktsioonid on olemas. Mõjutatud seadistus kasutab Everest Forms Pro lisamoodulit, mis pakub allkirjavälja ja failide meilile lisamise võimalust.
- Väljal on sobiv sisemine võti. Kood otsib välja metaandmete võtmest teksti
signature_. Sobiva võtmega tekstiväli võib samuti rolli mängida. Ainult nähtava allkirjakasti otsimisest ei piisa. - Teavitusel on Attach Files sisse lülitatud. Vaata üle iga vormiga seotud teavitus eraldi. Nende seaded ei pruugi kattuda.
- Manus saab jõuda külastaja määratud aadressile. Et fail selle tee kaudu ründajani jõuaks, peab teavitus minema tema kontrollitavale aadressile, näiteks vormi sisestatud meilile.
Kujutame näiteks ette tehnikarendi ettevõtet, mille vormist küsitakse projektori rendipakkumist. Kontrollida tuleks ka päringu saatjale minevat kinnituskirja. Kas sellel on manused? Kas saaja aadress võetakse vormiväljalt? Need on kontrollküsimused, mitte tõend juhtunud lekkest.
Kui vormiredaktor sisemisi võtmeid ei näita, palu arendajal seadistus üle vaadata. Välja nähtav pealkiri üksi vastust ei anna.
Versiooninumbrid lähevad kergesti segamini
Kahel eraldi turvaveal on erinevad parandused. Seepärast ei piisa teadmisest, et pluginat hiljuti uuendati. Kontrolli konkreetset numbrit:
- 3.6.2 või vanem: mõjutatud versioonide hulka kuuluvad nii manuste kaudu failide lugemise kui ka eraldi kustutamisveaga versioonid. Mõlemal veal on oma eeltingimused.
- 3.6.3: parandab eraldi kustutamisvea, kuid manuste kaudu failide lugemise viga jääb alles.
- 3.6.4 või uuem: 3.6.4 on manuste vea parandusega väljalaskena nimetatud miinimumversioon. Võimalusel eelista uuemat toetatud versiooni.
Patchstacki algne turvateade märgib parandatud versiooniks sõnaselgelt 3.6.4. Tootja muudatuste logis on selle väljalaske juures kuupäev 5. november 2026 ning kirjas allkirjafailide parem käsitlemine meiliteavituste manustes.
Allikates on siiski vastuolu: Wordfence’i üldine parandussoovituse kast ütleb endiselt, et parandust pole. Siinne uuendamissoovitus tugineb Patchstacki parandatud versiooni teabele ja tootja muudatuste logile. See ei tähenda, et Wordfence oleks paranduse kinnitanud.
Aga kustutamisviga?
See on CVE-2026-120513, mis puudutab versioone kuni 3.6.2 ning parandati versioonis 3.6.3. NVD-s avaldatud Wordfence CNA kirje kirjeldab puuduvat failitee kontrolli funktsioonis remove_csv_file_after_email_send. Tootja 15. oktoobri 2026 muudatuste logi seob versiooni 3.6.3 üleslaaditud failide kustutamise turvalisuse parandamisega.
Viga eeldab aktiivset Save-and-Continue lisamoodulit ning sihtvormil valikut Disable storing entry information. Kustutamine puudutab tavaliselt üleslaaditud faile; harvadel asjaoludel on võimalik mõju sellest alast väljapoole. Seda ei saa nimetada piiranguteta suvaliste failide kustutamiseks igas serveris.
Uuenda ja testi päriselt saadetavat teavitust
Enne kui uuendad tee andmebaasist ja lehe failidest värske varukoopia. Veendu ka selles, et tead, kuidas seda taastada. Kui sul on testkeskkond, kasuta seda, eriti makseid või broneeringuid töötlevate vormide puhul.
Soovitan uuendada põhiplugina Everest Forms vähemalt versioonile 3.6.4. Vaata üle ka Pro ja teiste lisamoodulite toetatud versioonid. Vana tasuline lisamoodul ei pruugi iga uuema põhipluginaga probleemideta töötada.
Pärast uuendamist tee rahulik kontroll:
- Saada kahjutu test päring enda kontrollitava meiliaadressiga.
- Vajadusel lisa väike proovifail, milles pole privaatset infot.
- Vaata üle kirja kohalejõudmine, saajad ja manused.
- Kontrolli, et päring ilmuks ka sinna, kuhu see tavalisellt salvestatakse.
Ära testi viga, proovides saata wp-config.php või mõnda muud saladusi sisaldavat faili.
Kui uuendused jäävad ettevõtte juhtimise kõrval pidevalt ootele, aitab WordPressi hooldus panna varukoopiad, ühilduvuse kontrolli ja vormide testimise kindlasse rütmi.
Mida teha uuendust oodates?
Lülita mõjutatud teavitustel ajutiselt Attach Files välja. Eemalda manustega teavitustest ka külastaja määratavad saaja-aadressid. Vaata üle nii kliendile minevad kinnituskirjad kui ka töötajate teavitused.
Praktikas tasub tavaliste päringute saatmine võimalusel alles jätta. Ilma failideta kinnituskiri häirib tööd enamasti vähem kui kogu vormi sulgemine.
Need sammud vähendavad ajutiselt riski, kuid ei asenda uuendamist. Tugevam sisselogimine seda autentimata kasutatavat viga samuti ei paranda. Meie WordPressi sisselogimise turvamise juhend aitab tugevdada järgmist kaitsekihti, mitte seda konkreetset auku sulgeda.
Kui privaatne fail võis juba teele minna
Säilita tõendid enne logide tühjendamist või kahtlaste kirjete kustutamist. Vaata üle teavituste seaded, olemasolevad meilide metaandmed ja saatmislogid, tundmatud administraatorikontod ning ootamatud failimuudatused. Meilikirjed võivad näidata saajaid ja saatmise aega, kuid mitte manuste sisu. Puuduvad logid ei tõesta lekke puudumist.
Laiemat uurimist selgitab meie häkitud WordPressi korrastamise juhend. Kui vajad abi, lepi kokku omaniku loaga tehtav häkitud veebilehe puhastus, selle asemel et pimesi muudatusi teha.
Võimaliku ligipääsuandmete lekke korral tuleb kavandada nende ülevaatus ja vajadusel asendamine omaniku loal. Andmebaasi muudatused tuleb kooskõlastada lehe seadistusega, et vältida katkestust. Ainult administraatori parooli vahetamine seda viga ei paranda.
Tänane konkreetne samm: ava vormide teavitused, kontrolli Attach Files valikut ja saajaid ning veendu, et Everest Formsi põhiplugina versioon on vähemalt 3.6.4.