Gravity Forms: injeção de objeto PHP (CVE-2026-103039)
Foi reportada uma vulnerabilidade de injeção de objeto PHP (CVSS 9.8) no plugin Gravity Forms para WordPress. O GFFormsModel::create_post() passa o valor de um campo de Lista para o maybe_unserialize() global sem restrições. Um invasor não autenticado pode injetar um objeto PHP nos metadados do post.
Verificado no Shield: sim
Quem é afetado
Todas as versões do Gravity Forms até a 3.1.2, inclusive. Condição: um Campo Personalizado de Post com o tipo de entrada Lista e um modelo de conteúdo ativado. A execução remota de código exige uma cadeia de gadgets de outro plugin ou tema.
Como verificar
Confira a versão do Gravity Forms em Plugins no WordPress. Verifique se algum formulário usa um Campo Personalizado de Post do tipo Lista com um modelo de conteúdo ativado.
Como corrigir
A fonte não informa uma versão corrigida. Fique atento a uma atualização do plugin e instale a correção assim que for lançada. Até lá, considere revisar os formulários que usam esses campos.
O que o Shield verifica grátis
O Shield encontra o Gravity Forms pelos endereços dos arquivos no código da página, lê a versão no readme.txt do plugin (a linha Stable tag) ou no ?ver= dos arquivos e compara com a versão corrigida 3.1.3. Se a sua versão for menor, o relatório mostra um achado com link para o CVE. Grátis, em toda verificação. Se o plugin não deixa rastros nas páginas, ele não aparece de fora: confira a versão no seu painel de administração.
Bom saber
O status de exploração e o número da versão corrigida ainda não foram divulgados. Fonte: NVD, CVE-2026-103039.
