CVE-2026-103039
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.5%
- CWE
- CWE-502
- KEV Durumu
- Hayır
Yayım tarihi: 30 Ekim 2026
WordPress için Gravity Forms eklentisi, 3.1.2 sürümüne kadar olan tüm sürümlerde, Liste girişi türüne sahip bir Post Özel Alanı aracılığıyla PHP Nesne Enjeksiyonuna karşı savunmasızdır. Bu, GFFormsModel::create_post()'in gönderilen değeri, eklentinin kendi güçlendirilmiş GFCommon::maybe_unserialize() yerine WordPress'un kısıtlamasız global maybe_unserialize() öğesine geçirmesinden kaynaklanmaktadır. GFCommon::maybe_unserialize(), 3.1.1 sürümünde eklenmiştir ve allowed_classes => false parametresini precisely nesne örneklemesini önlemek için geçirmektedir. İçerik şablonu etkinleştirilmiş bir alanda, gönderilen satır bu çağrıya kelimesi kelimesine ulaşır. Bu, kimlik doğrulamış saldırganların posta meta verisine bir PHP nesnesi enjekte etmesine olanak tanır. Eklentinin kendisinde PHP Nesne Enjeksiyonu gadget zinciri bulunmamaktadır; ancak, ek bir eklenti veya tema aracılığıyla bir gadget zinciri mevcut ise, saldırganın uzak kod yürütme gibi işlemleri gerçekleştirmesine izin verebilir. Özel alan korunan _wp_page_template meta anahtarına eşlendiğinde, WordPress kendisi zinciri sağlar: validate_file() skaler olmayan değerleri kabul eder, WP_Theme::__toString() sonra saldırganın kontrol ettiği yolu çözer ve readable PEAR kurulumu ve register_argc_argv etkinleştirilmiş olan konaklarda bu, uzak kod yürütmesine yol açar.
Orijinal açıklama (İngilizce)
The Gravity Forms plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 3.1.2 via a Post Custom Field whose input type is List. This is due to GFFormsModel::create_post() passing the submitted value to WordPress' unrestricted global maybe_unserialize() rather than the plugin's own hardened GFCommon::maybe_unserialize(), which was added in 3.1.1 and passes allowed_classes => false precisely to prevent object instantiation. Where the field has a content template enabled, the submitted row reaches that call verbatim. This makes it possible for unauthenticated attackers to inject a PHP object into post meta. No PHP Object Injection gadget chain is present in the plugin itself; however, if a gadget chain is present via an additional plugin or theme, it could allow the attacker to perform actions such as remote code execution. Where the custom field is mapped to the protected _wp_page_template meta key, WordPress itself supplies the chain: validate_file() accepts non-scalars, WP_Theme::__toString() then resolves an attacker-controlled path, and on hosts with a readable PEAR install and register_argc_argv enabled this yields remote code execution.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.