Gravity Forms: PHP Object Injection (CVE-2026-103039)
В плагине Gravity Forms для WordPress найдена уязвимость PHP Object Injection (CVSS 9.8). Метод GFFormsModel::create_post() передаёт значение поля типа List в небезопасный глобальный maybe_unserialize(). Неавторизованный атакующий может внедрить PHP-объект в post meta.
Проверяется в Shield: нет
Кого касается
Все версии Gravity Forms до 3.1.2 включительно. Условие: Post Custom Field с типом ввода List и включённым шаблоном содержимого. RCE возможна только при наличии gadget-цепочки в другом плагине или теме.
Как проверить у себя
Проверьте версию Gravity Forms в разделе «Плагины» в WordPress. Посмотрите, есть ли формы с Post Custom Field типа List и включённым content template.
Как исправить
Исправленная версия в источнике не указана. Следите за обновлениями плагина и установите патч, когда он выйдет. До этого стоит пересмотреть формы с такими полями.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данных об эксплуатации и номере исправленной версии пока нет. Источник: NVD, CVE-2026-103039.
