Уведомление из формы должно прислать вам заявку, возможно, с загруженным документом. Но никак не закрытый файл с сервера вашего сайта.
Именно такая проблема стоит за CVE-2026-115483 в Everest Forms. При определенном сочетании дополнений, полей формы и настроек почты уведомление может содержать серверный файл, например wp-config.php. Если письмо уходит на адрес, указанный посетителем, файл может попасть не в те руки.
Так настроен далеко не каждый сайт с Everest Forms. Но обновления до 3.6.3 для этой проблемы тоже недостаточно. Нужен основной плагин Everest Forms версии 3.6.4 или более свежий поддерживаемый выпуск.
Что не так с вложениями
Wordfence опубликовал предупреждение 10 ноября 2026 года. В нем описано произвольное чтение файлов без авторизации в Everest Forms до версии 3.6.3 включительно. Оценка CVSS - 7,5.
Ошибка находится в attach_entry_files - функции, которая собирает вложения для почтовых уведомлений. В уязвимой ветке она принимает значения полей, чей внутренний метаключ содержит signature_, проверив лишь существование файла. Ограничения, которое удерживало бы поиск внутри разрешенной папки, там нет.
Проще говоря: файл существует. Но это еще не значит, что форма вправе отправлять его по почте.
Доступный для чтения wp-config.php может раскрыть данные подключения к базе и соли аутентификации WordPress. Серьезная информация. Однако сами по себе эти данные не гарантируют удаленный доступ к базе и не доказывают, что кто-то уже захватил сайт.
Какие формы стоит проверить
Условия должны совпасть. Нельзя говорить, что любая простая контактная форма с бесплатным плагином автоматически раскрывает серверные файлы.
Проверьте четыре вещи:
- Есть функции Pro. Проблемная конфигурация включает дополнение Everest Forms Pro, которое добавляет подпись и отправку файлов во вложениях.
- У поля подходящий внутренний ключ. Код ищет
signature_в метаключе поля. Даже обычное текстовое поле с таким ключом может иметь значение. Проверить только наличие видимого поля для подписи недостаточно. - В уведомлении включено Attach Files. Посмотрите каждое уведомление формы отдельно. У них могут быть разные настройки.
- Вложение может уйти на адрес посетителя. Чтобы файл попал к злоумышленнику именно этим способом, письмо должно отправляться на подконтрольный ему адрес. Например, взятый из поля email в заявке.
Допустим, компания сдает оборудование напрокат. Тогда стоит проверить письмо-подтверждение человеку, который заказал проектор. Есть ли там вложения? Берется ли адрес получателя из заявки? Это полезные вопросы, а не доказательство утечки.
Если редактор не показывает внутренние ключи полей, попросите разработчика проверить конфигурацию. По одной подписи возле поля вывод не сделать.
С версиями легко запутаться
| Версия основного Everest Forms | Что важно знать |
|---|---|
| 3.6.2 и старше | Затронуты и чтение файлов через вложения, и отдельная ошибка удаления. У каждой свои условия. |
| 3.6.3 | Исправлена отдельная ошибка удаления. Проблема чтения файлов через вложения остается. |
| 3.6.4 и новее | 3.6.4 - минимальная версия, указанная как исправление проблемы с вложениями. Если доступен более свежий поддерживаемый выпуск, лучше выбрать его. |
В собственном уведомлении Patchstack прямо указывает 3.6.4 как исправленную версию. В журнале изменений разработчика этот выпуск датирован 5 ноября 2026 года. Там отмечено улучшение обработки файлов подписи во вложениях почтовых уведомлений.
Но у источников есть расхождение: общий блок рекомендаций Wordfence все еще сообщает, что исправления нет. Рекомендация обновиться здесь опирается на данные Patchstack и журнал разработчика. Не на подтверждение исправления со стороны Wordfence.
А что за ошибка удаления?
Это CVE-2026-120513. Она затрагивает версии до 3.6.2 включительно и исправлена в 3.6.3. Запись Wordfence как CNA, опубликованная в NVD, описывает отсутствие проверки пути в remove_csv_file_after_email_send.
Для нее нужны активное дополнение Save-and-Continue и включенная настройка Disable storing entry information у конкретной формы. Обычно удаление касается загруженных файлов. В редких обстоятельствах последствия могут выходить за пределы этой области, но называть это неограниченным удалением любых файлов на любом сервере было бы преувеличением.
Обновитесь и проверьте само письмо
Перед обновлением сделайте свежий бэкап базы и файлов сайта. Заодно проверьте что знаете, как его восстановить. Если есть тестовая копия сайта, сначала используйте ее, особенно когда через формы проходят платежи или бронирования.
Основной Everest Forms обновите минимум до 3.6.4. Проверьте и совместимость поддерживаемых версий Pro и дополнений. Старое платное дополнение не обязано без проблем работать с любым новым выпуском основного плагина.
Затем отправьте безобидную тестовую заявку на свой адрес. Если нужен документ, возьмите маленький файл без личных или закрытых данных. Проверьте доставку, получателей, вложения и сохранение заявки там, где она должна появиться. Не пытайтесь ради проверки отправить wp-config.php или другой секретный файл.
Когда обновления постоянно откладываются из-за рабочих дел, регулярное обслуживание WordPress помогает включить бэкапы, проверку совместимости и тестирование форм в обычный график.
Пока готовите обновление
Временно отключите Attach Files в затронутых уведомлениях. Также уберите из писем с вложениями адреса получателей, которыми управляет посетитель. Проверьте не только уведомления сотрудникам, но и письма-подтверждения клиентам.
По возможности сохраните обычную доставку заявок. Простое подтверждение без файлов обычно мешает работе меньше, чем полное отключение формы.
Это временное снижение риска, не замена обновлению. И усиленная защита входа не исправит ошибку, для которой авторизация вообще не нужна. Наш разбор защиты входа в WordPress пригодится как дополнительный уровень защиты, но решает другую задачу.
Если закрытый файл уже мог уйти
Сначала сохраните свидетельства. Не очищайте логи и не удаляйте подозрительные заявки до проверки. Просмотрите настройки уведомлений, доступные почтовые метаданные и журналы доставки, незнакомые учетные записи администраторов и неожиданные изменения файлов.
Почтовые записи могут показать адресатов и время отправки, но не сохранить содержимое вложений. А отсутствие записей не доказывает, что утечки не было.
В инструкции что делать при взломе WordPress разобрана более широкая проверка. Если нужна помощь, согласуйте с владельцем очистку взломанного сайта, а не меняйте все подряд вслепую.
При подозрении на утечку учетных данных нужен план их проверки и, где оправдано, замены с разрешения владельца. Изменения доступа к базе согласуйте с настройками сайта, иначе он может перестать работать. Одна смена пароля администратора эту уязвимость не исправляет.
Задача на сегодня конкретная: откройте уведомления форм, проверьте Attach Files и получателей. Затем убедитесь, что основной Everest Forms обновлен до 3.6.4 или новее.