CVE-2026-19513

Nome do Software Vulnerável e Versões Afetadas Gravity Forms versões anteriores a 3.0.3

Description Um problema de upload arbitrário de arquivos afeta mais de 1 milhão de instalações do WordPress. A falha origina-se de uma validação insuficiente do estado de chunk de upload de múltiplos arquivos na função GFAsyncUpload::upload(). Especificamente, ocorre uma falha de confusão de domínio criptográfico porque o wp hash() é reutilizado sem separação de contexto tanto para o estado do formulário público quanto para a autenticação de continuação de chunk, permitindo que invasores reutilizem um hash de URL legítimo para autenticar solicitações de upload maliciosas. Invasores não autenticados podem explorar isso quando um formulário público possui um campo de Upload de Arquivo com a opção de Múltiplos Arquivos ativada, fazendo o upload de um poliglota PNG ou PDF—um arquivo que é válido em dois formatos diferentes—para um nome de arquivo de sua escolha, como .php ou .html, no diretório temporário de upload. Isso pode levar à execução remota de código em sistemas que utilizam NGINX ou outros servidores web que não respeitam arquivos .htaccess. Em servidores onde a execução de PHP é bloqueada, como o Apache, o upload de um arquivo HTML pode resultar em cross-site scripting (XSS) armazenado de mesma origem, que ocorre quando um script malicioso é armazenado permanentemente no servidor e executado no navegador da vítima.

Recommendations Atualize o Gravity Forms para uma versão posterior à 3.0.2. Como mitigação temporária, desative a opção de Múltiplos Arquivos nos campos de Upload de Arquivo em todos os formulários públicos.