Gravity Forms: PHP Object Injection (CVE-2026-103039)
We wtyczce Gravity Forms dla WordPressa zgłoszono podatność PHP Object Injection (CVSS 9.8). Metoda GFFormsModel::create_post() przekazuje wartość pola typu List do globalnej funkcji maybe_unserialize() bez ograniczeń. Nieuwierzytelniony atakujący może wstrzyknąć obiekt PHP do post meta.
Sprawdzane w Shield: nie
Kogo dotyczy
Wszystkie wersje Gravity Forms do 3.1.2 włącznie. Warunek: Post Custom Field z typem wejścia List i włączonym szablonem treści. RCE wymaga łańcucha gadżetów z innej wtyczki lub motywu.
Jak sprawdzić u siebie
Sprawdź wersję Gravity Forms w sekcji Wtyczki w WordPressie. Zweryfikuj, czy formularze używają Post Custom Field typu List z włączonym content template.
Jak naprawić
Źródło nie podaje poprawionej wersji. Śledź aktualizacje wtyczki i zainstaluj poprawkę, gdy się pojawi. Do tego czasu warto przejrzeć formularze z takimi polami.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności i numerze poprawionej wersji nie zostały jeszcze ujawnione. Źródło: NVD, CVE-2026-103039.
