Gravity Forms: PHP Object Injection (CVE-2026-103039)
У плагіні Gravity Forms для WordPress знайдено вразливість PHP Object Injection (CVSS 9.8). Метод GFFormsModel::create_post() передає значення поля типу List до небезпечного глобального maybe_unserialize(). Неавторизований атакувальник може впровадити PHP-об'єкт у post meta.
Перевіряється в Shield: ні
Кого стосується
Усі версії Gravity Forms до 3.1.2 включно. Умова: Post Custom Field з типом введення List і ввімкненим шаблоном вмісту. RCE можлива лише за наявності gadget-ланцюжка в іншому плагіні чи темі.
Як перевірити в себе
Перевірте версію Gravity Forms у розділі «Плагіни» у WordPress. Подивіться, чи є форми з Post Custom Field типу List і ввімкненим content template.
Як виправити
Виправлену версію в джерелі не вказано. Стежте за оновленнями плагіна й встановіть патч, коли він вийде. До цього варто переглянути форми з такими полями.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Даних про експлуатацію та номер виправленої версії поки немає. Джерело: NVD, CVE-2026-103039.
