CVE-2026-84434

Nome do Software Vulnerável e Versões Afetadas Gravity Forms versões anteriores a 3.1.1

Description Um problema de upload arbitrário de arquivos existe no plugin Gravity Forms para WordPress através da função upload file(). A falha decorre de uma incompatibilidade entre o pipeline de validação de campos e o pipeline de persistência de arquivos, permitindo que campos de upload de arquivos ocultos ignorem a validação de extensão. Consequentemente, o estado de upload intacto de um arquivo rejeitado pode ser passado para upload file() sem nova validação. Isso permite que invasores não autenticados façam o upload de arquivos executáveis em qualquer formulário publicamente acessível onde um campo de Upload de Arquivo tenha sua Visibilidade definida como 'Hidden' (Oculto), podendo levar à execução remota de código (RCE), que é a capacidade de executar comandos arbitrários no servidor.

Recommendations Atualize para a versão 3.1.1. Como medida paliativa temporária, certifique-se de que nenhum campo de Upload de Arquivo tenha sua Visibilidade definida como 'Hidden' em formulários publicamente acessíveis.