Una vulnerabilidad crítica de inyección de objetos PHP no autenticada, identificada como CVE-2025-3439, ha sido descubierta en Everest Forms, uno de los plugins más populares para WordPress, utilizado por más de 100.000 sitios web en todo el mundo. Clasificada con un CVSS de 9.8, esta falla podría permitir a ciberatacantes ejecutar acciones maliciosas si se dan ciertas condiciones en el entorno afectado.
Everest Forms es un constructor de formularios para WordPress muy extendido, con funciones que permiten crear formularios de contacto, encuestas, formularios de pago y más, todo desde una interfaz amigable y sin necesidad de conocimientos técnicos avanzados.
El problema radica en la gestión del parámetro field_value, donde el plugin deserializa datos no confiables, una práctica considerada de alto riesgo en programación web, ya que puede abrir la puerta a la inyección de objetos PHP.
Aunque la vulnerabilidad no incluye una cadena de explotación (POP chain) por sí sola, el riesgo aumenta drásticamente si en el mismo sitio WordPress hay instalado otro plugin o tema vulnerable que contenga dicha cadena. En ese caso, un atacante podría:
La combinación de esta vulnerabilidad con otros componentes inseguros puede tener consecuencias devastadoras, especialmente en sitios de comercio electrónico, servicios financieros o portales gubernamentales.
Según los investigadores de Wordfence Intelligence, están afectadas todas las versiones de Everest Forms hasta la 3.1.1 inclusive. Los desarrolladores ya han lanzado una versión corregida (3.1.2), que debe instalarse inmediatamente para eliminar el riesgo.
| Versión Afectada | ¿Está parcheada? | Acción Recomendable |
|---|---|---|
| ≤ 3.1.1 | ❌ No | Actualizar |
| 3.1.2 | ✅ Sí | Seguro |
La actualización está disponible directamente desde el panel de WordPress o a través del repositorio oficial wordpress.org/plugins/everest-forms.
Esta nueva vulnerabilidad en Everest Forms pone de manifiesto una vez más la importancia de mantener los sistemas actualizados y de contar con medidas de defensa en profundidad. Aunque por sí sola no representa una amenaza inmediata, la presencia de otros componentes vulnerables puede facilitar una cadena de ataques que comprometa seriamente la seguridad de un sitio.
Con más de 100.000 instalaciones activas, este fallo podría tener consecuencias a gran escala si los administradores no actúan con rapidez. Actualizar ya no es una opción, sino una obligación urgente.
