专精WordPress网站安全的安全企业Wordfence接获研究人员Arkadiusz Hydzik通报漏洞，他发现，提供网站管理者创建表单、问卷、投票的插件程序Everest Forms，存在重大层级的任意文件上传漏洞CVE-2025-1128。
未经身份验证的攻击者，可经由此弱点将任意文件上传到WordPress网站，从而远程执行任意程序代码，并且还能进一步读取或删除网站上的任何文件，漏洞的CVSS风险达到9.8分（满分10分），而且，所有版本Everest Forms都存在这项弱点，目前10万个部署该插件程序的网站都有可能曝险。Wordfence将所有数据都交给WordPress布景软件与插件开发商ThemeGrill，Everest Forms的开发者于2月20日发布3.0.9.5版修补，Wordfence也颁发4,290美元漏洞挖掘奖励给Arkadiusz Hydzik。
针对这项漏洞发生的原因，Wordfence漏洞研究员István Márton指出，问题出在是EVF_Form_Fields_Upload这个类别缺乏文件类型及路径的验证，导致WordPress网站不仅能上传任意文件，还能被攻击者随意读取、删除任何数据。若是攻击者针对wp-config.php下手，就有机会劫持整个网站。
由于EVF_Form_Fields_Upload其中的方法format对于文件类型或是文件扩展名，没有执行检查的程序，攻击者可将含有恶意PHP脚本的CSV或TXT文本文件，重命名为PHP文件并上传，而WordPress网站会自动这些文件搬移到任何人均可公开访问的上传文件夹，这么一来，攻击者就能在未经身份验证的情况下，上传恶意PHP程序代码并访问，触发漏洞而能远程在服务器上执行任意程序代码。
