Gravity Forms: inyección de objetos PHP (CVE-2026-103039)
Se reportó una vulnerabilidad de inyección de objetos PHP (CVSS 9.8) en el plugin Gravity Forms para WordPress. GFFormsModel::create_post() pasa el valor de un campo de tipo Lista a la función global maybe_unserialize() sin restricciones. Un atacante sin autenticar puede inyectar un objeto PHP en los metadatos de la entrada.
Revisado en Shield: sí
Quién está afectado
Todas las versiones de Gravity Forms hasta la 3.1.2 inclusive. Condición: un Post Custom Field con el tipo de entrada Lista y una plantilla de contenido habilitada. La ejecución remota de código requiere una cadena de gadgets de otro plugin o tema.
Cómo comprobar
Revisa la versión de Gravity Forms en Plugins dentro de WordPress. Comprueba si algún formulario usa un Post Custom Field de tipo Lista con una plantilla de contenido habilitada.
Cómo corregirlo
La fuente no menciona una versión corregida. Está atento a una actualización del plugin e instala el parche cuando se publique. Mientras tanto, considera revisar los formularios que usen esos campos.
Qué comprueba Shield gratis
Shield detecta Gravity Forms por las direcciones de sus archivos en el código de la página, lee la versión del readme.txt del plugin (la línea Stable tag) o del ?ver= de sus archivos y la compara con la versión corregida 3.1.3. Si tu versión es menor, el informe mostrará un hallazgo con enlace al CVE. Gratis, en cada análisis. Si el plugin no deja rastros en las páginas, no se ve desde fuera: revisa la versión en tu panel de administración.
Conviene saber
El estado de explotación y el número de la versión corregida aún no se han divulgado. Fuente: NVD, CVE-2026-103039.
