CVE-2026-103039

Nome do Software Vulnerável e Versões Afetadas Gravity Forms versões anteriores a 3.1.3

Description Um invasor não autenticado pode realizar a Injeção de Objeto PHP por meio de um Campo Personalizado de Post com tipo de entrada List. O problema ocorre porque a função GFFormsModel::create post() passa os valores enviados para a função global irrestrita maybe unserialize() em vez da função GFCommon::maybe unserialize() reforçada, que evita a instanciação de objetos ao definir allowed classes como false. Quando um modelo de conteúdo está habilitado para o campo, a linha enviada é processada literalmente, permitindo a injeção de um objeto PHP nos metadados do post. Embora o plugin não possua sua própria cadeia de gadgets, a presença de uma em outro plugin ou tema poderia permitir a execução remota de código. Especificamente, se o campo personalizado for mapeado para a chave de meta wp page template, a função validate file() e WP Theme:: toString() podem ser exploradas para alcançar a execução remota de código em hosts com uma instalação PEAR legível e register argc argv habilitado.

Recommendations Atualize o Gravity Forms para uma versão posterior à 3.1.2.