CVE-2026-12997

Nome do Software Vulnerável e Versões Afetadas Gravity Forms versões anteriores a 2.10.5

Description Existe um problema onde invasores não autenticados podem ler arquivos arbitrários do servidor que podem conter informações sensíveis. Isso ocorre quando um formulário alvo é publicamente acessível e não exige login, permitindo que o invasor acesse o endpoint process send resume link. Ao manipular o parâmetro gform uploaded files, o invasor pode especificar um endereço de e-mail do destinatário para receber o arquivo recuperado como um anexo de notificação. Directory Traversal é um método usado para acessar arquivos e diretórios que estão armazenados fora da pasta raiz da web.

Recommendations Atualize o Gravity Forms para a versão 2.10.5 ou posterior. Restrinja o acesso ao endpoint process send resume link ou garanta que os formulários que exigem manipulação de arquivos exijam o login do usuário.