PT-2026-133295
CVE-2026-103039
·
تاريخ النشر
2026-10-30
·
تاريخ التحديث
2026-10-30
الوصف من
CVSS 3.1
9.8
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Gravity Forms الإصدارات السابقة لـ 3.1.3
Description
يمكن لمهاجم غير مصرح له تنفيذ عملية حقن كائنات PHP (PHP Object Injection) عبر حقل مخصص للمنشور (Post Custom Field) من نوع القائمة (List). تحدث هذه المشكلة لأن الدالة
GFFormsModel::create post() تمرر القيم المرسلة إلى الدالة العامة غير المقيدة maybe unserialize() بدلاً من الدالة المحصنة GFCommon::maybe unserialize()، والتي تمنع إنشاء الكائنات عن طريق تعيين allowed classes إلى false. عندما يكون قالب المحتوى مفعلاً للحقل، يتم معالجة الصف المرسل حرفياً، مما يسمح بحقن كائن PHP في بيانات المنشور الوصفية (post meta). على الرغم من أن المكون الإضافي لا يحتوي على سلسلة أدوات (gadget chain) خاصة به، إلا أن وجود سلسلة في مكون إضافي أو قالب آخر قد يسمح للمهاجم بتنفيذ تعليمات برمجية عن بُعد. وبشكل محدد، إذا تم ربط الحقل المخصص بمفتاح البيانات الوصفية wp page template ، يمكن استغلال الدالة validate file() و WP Theme:: toString() لتحقيق تنفيذ تعليمات برمجية عن بُعد على المضيفات التي تحتوي على تثبيت PEAR قابل للقراءة وميزة register argc argv مفعلة.Recommendations
تحديث Gravity Forms إلى إصدار أحدث من 3.1.2.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾