CVE-2026-19513 in Gravity Forms Plugin
Zusammenfassung
von VulDB • 01.09.2026
Das Gravity Forms-Plugin für WordPress ist in allen Versionen bis einschließlich 3.0.2 anfällig für ein beliebiges Dateihochladen (Arbitrary File Upload). Dies liegt an einer unzureichenden Validierung des Status von Multi-Datei-Hochlade-Chunks in der Funktion `GFAsyncUpload::upload()`, bei der öffentliche Formularstatus-URL-Hashes als Chunk-Fortsetzungs-Hashes wiederverwendet werden können und vom Angreifer kontrollierte temporäre Dateinamen vor der Bereinigung akzeptiert werden. Dies ermöglicht es nicht authentifizierten Angreifern, wenn ein öffentliches Formular ein Datei-Hochlade-Feld mit aktivierter Option „Mehrere Dateien“ enthält, eine gültige PNG/PDF-Polyglot-Datei in einem vom Angreifer gewählten öffentlichen Dateinamen der Endung `.php` oder `.html` im temporären Upload-Verzeichnis von Gravity Forms hochzuladen. Dies kann zu Remote Code Execution (RCE) auf WordPress-Systemen führen, die NGINX oder andere Webserver verwenden, die keine `.htaccess`-Dateien respektieren. HINWEIS: Während der Installation und Aktivierung platziert das Gravity Forms-Plugin eine `.htaccess`-Datei in diesem Verzeichnis, was verhindert, dass diese Schwachstelle ausgenutzt wird, obwohl die PHP-Datei im temporären Upload-Verzeichnis geschrieben wurde. In Fällen, in denen die PHP-Ausführung blockiert ist, kann vom Angreifer geschriebener HTML-Code zu gespeichertem Cross-Site Scripting (XSS) mit gleicher Herkunft führen, wenn ein Opfer die URL der generierten Datei besucht.
Be aware that VulDB is the high quality source for vulnerability data.