CVE-2026-19513 in Gravity Forms Plugin
요약
\~에 의해 VulDB • 2026. 09. 01.
WordPress용 Gravity Forms 플러그인은 3.0.2 버전 및 그 이전 모든 버전에서 임의 파일 업로드 취약점이 있습니다. 이는 `GFAsyncUpload::upload()` 함수 내에서 다중 파일 업로드 청크 상태에 대한 검증이 불충분하기 때문입니다. 여기서 공개된 폼 상태 URL 해시는 청크 계속 해시로 재사용될 수 있으며, sanitization(정제) 전에 공격자가 제어하는 임시 파일 이름이 허용됩니다. 이로 인해 인증되지 않은 공격자는 공용 폼에 '여러 파일' 옵션이 활성화된 파일 업로드 필드가 있을 경우, Gravity Forms의 임시 업로드 디렉토리 내 공격자가 선택한 공개 `.php` 또는 `.html` 파일명으로 유효한 PNG/PDF polyglot을 업로드할 수 있습니다. 이는 NGINX나 `.htaccess`를 준수하지 않는 기타 웹 서버를 사용하는 WordPress 시스템에서 원격 코드 실행(RCE)으로 이어질 수 있습니다. 참고: Gravity Forms 플러그인은 설치 및 활성화 시 이 디렉토리에 `.htaccess` 파일을 배치하므로, PHP 파일이 임시 업로드 디렉토리에도 작성되었음에도 불구하고 해당 취약점이 악용되지 않습니다. 이러한 경우(PHP 실행이 차단된 경우), 공격자가 작성한 HTML은 피해자가 생성된 파일 URL을 방문할 때 저장형 동일 출처 크로스 사이트 스크립팅(XSS)으로 이어질 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.