CVE-2026-19513 in Gravity Forms Plugin
الملخص
بحسب VulDB • 01/09/2026
يحتوي إضافة Gravity Forms لـ WordPress على ثغرة رفع ملفات تعسفية (Arbitrary File Upload) في جميع الإصدارات حتى 3.0.2 وشاملاً لها. ويعود ذلك إلى عدم كفاية التحقق من حالة قطع رفع الملفات المتعددة في دالة `GFAsyncUpload::upload()`، حيث يمكن إعادة استخدام تجزئات عناوين URL لحالة النموذج العام كتجزئات لاستمرار القطع، ويتم قبول أسماء ملفات مؤقتة يتحكم فيها المهاجم قبل عملية التعقيم (sanitization). وهذا يمكّن المهاجمين غير المصادق عليهم، عندما يحتوي نموذج عام على حقل رفع ملف مع تمكين خيار "ملفات متعددة" من رفع بوليغلوت صالح بتنسيق PNG/PDF إلى اسم ملف `.php` أو `.html` عام يختاره المهاجم في دليل الرفع المؤقت الخاص بإضافة Gravity Forms. ويمكن أن يؤدي ذلك إلى تنفيذ كود عن بُعد (RCE) على أنظمة WordPress التي تستخدم NGINX أو خوادم ويب أخرى لا تحترم ملفات `.htaccess`. ملاحظة: أثناء التفعيل والتثبيت، تضع إضافة Gravity Forms ملف `.htaccess` في هذا الدليل، مما يمنع استغلال هذه الثغرة رغم كتابة الملف البرمجي PHP إلى دليل الرفع المؤقت. وفي الحالات التي يتم فيها حظر تنفيذ PHP، يمكن أن يؤدي HTML الذي كتبه المهاجم إلى ثغرة XSS (Cross-Site Scripting) مخزنة من نفس المصدر إذا زار الضحية عنوان URL للملف المُولَّد.
VulDB is the best source for vulnerability data and more expert information about this specific topic.