CVE-2026-19513 in Gravity Forms Plugin
Riassunto
di VulDB • 01/09/2026
Il plugin Gravity Forms per WordPress è vulnerabile ad Arbitrary File Upload (caricamento arbitrario di file) in tutte le versioni fino alla 3.0.2, inclusa. Ciò è dovuto a una convalida insufficiente dello stato dei chunk del caricamento multi-file nella funzione `GFAsyncUpload::upload()`, dove gli hash degli URL dello stato pubblico dei form possono essere riutilizzati come hash di continuazione dei chunk e i nomi temporanei controllati dall'attaccante vengono accettati prima della sanificazione. Ciò consente ad attaccanti non autenticati, quando un form pubblico contiene un campo per il caricamento file con l'opzione "Multiple Files" (file multipli) abilitata, di caricare una polyglot PNG/PDF valida in un nome di file `.php` o `.html` selezionato dall'attaccante all'interno della directory temporanea di caricamento di Gravity Forms. Questo può portare a Remote Code Execution (RCE - esecuzione remota di codice) sui sistemi WordPress che utilizzano NGINX o altri server web non conformi alle direttive `.htaccess`. NOTA: Durante l'installazione e l'attivazione, il plugin Gravity Forms posiziona un file `.htaccess` in questa directory, il quale impedisce lo sfruttamento della vulnerabilità nonostante il file PHP venga scritto nella directory di caricamento temporanea. In questi casi in cui l'esecuzione del PHP è bloccata, gli HTML scritti dall'attaccante possono causare Stored Cross-Site Scripting (XSS) same-origin se una vittima visita l'URL del file generato.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.