CVE-2026-103039

要約

WordPress用プラグインGravity Formsの3.1.2までのすべてのバージョンに、入力タイプがListの投稿カスタムフィールドを介したPHPオブジェクトインジェクションの脆弱性があるとされています。原因は、GFFormsModel::create_post()が送信値を、プラグイン独自のGFCommon::maybe_unserialize()ではなく、WordPressの制限のないグローバルなmaybe_unserialize()に渡していることです。認証されていない攻撃者が投稿メタにPHPオブジェクトを注入でき、プラグイン自体にガジェットチェーンはありませんが、他のプラグインやテーマにチェーンがある場合はリモートコード実行などが可能になると説明されています。

AI による要約です(公式発表の本文から作成)。

関連(タグ)

Gravity FormsWordPressPHPPEAR

このタグの新着を RSS で受け取る: Gravity Forms / WordPress / PHP / PEAR(使い方)

判定の理由

• CVSS 9.0 以上

出典

公式発表を見る