CVE-2026-103039

Gravity Forms <= 3.1.2 - Tấn công PHP Object Injection không xác thực thông qua Custom Field Post

Plugin Gravity Forms cho WordPress có thể bị tấn công bởi PHP Object Injection trong tất cả các phiên bản từ 3.1.2 trở xuống thông qua một Custom Field Post có loại input là List. Điều này là do hàm GFFormsModel::create_post() truyền giá trị đã gửi đến WordPress's unrestricted global maybe_unserialize() thay vì sử dụng hardened GFCommon::maybe_unserialize() của plugin, được thêm vào phiên bản 3.1.1 và truyền allowed_classes => false để ngăn chặn việc tạo đối tượng. Trong trường hợp Custom Field có content template được kích hoạt, hàng đã gửi đến đạt đến gọi đó nguyên vẹn. Điều này cho phép kẻ tấn công không xác thực chèn một đối tượng PHP vào meta của bài viết. Plugin này không có chuỗi gadget PHP Object Injection; tuy nhiên, nếu có chuỗi gadget thông qua một plugin hoặc chủ đề khác, nó có thể cho phép kẻ tấn công thực hiện các hành động như thực thi mã từ xa. Trong trường hợp Custom Field được liên kết với meta key bảo vệ _wp_page_template, WordPress cung cấp chuỗi: hàm validate_file() chấp nhận non-scalars, WP_Theme::__toString() sau đó giải quyết một đường dẫn do kẻ tấn công kiểm soát, và trên các máy chủ có PEAR cài đặt đọc được và register_argc_argv được kích hoạt, điều này dẫn đến thực thi mã từ xa.

Bạn tra cứu quá nhanh — thử lại sau 6 giây.

CVSS (NVD)

9.8 · CRITICAL

Loại lỗi (CWE)

CWE-502

EPSS (FIRST)

0.51% khả năng bị khai thác trong 30 ngày