Критична вразливість завантаження файлів у Gravity Forms для WordPress (CVE-2026-84434)

Що відомо

Плагін Gravity Forms для WordPress має критичну вразливість завантаження довільних файлів у версіях до 3.1.0.4 включно через помилку в обробці прихованих полів завантаження файлів. Це дозволяє неавторизованим зловмисникам завантажувати потенційно виконувані файли, що може призвести до віддаленого виконання коду.

Бізнес-вплив

Вразливість створює серйозну загрозу для сайтів на WordPress із встановленим плагіном Gravity Forms, особливо якщо форми містять приховані поля завантаження файлів. Зловмисники можуть отримати можливість виконувати довільний код на сервері, що ставить під ризик цілісність і доступність вебресурсу та даних. Власникам інфраструктури слід негайно оцінити наявність уразливих версій і форм із прихованими полями завантаження.

Рекомендовані дії адміністратора

Рекомендується перевірити версію плагіна Gravity Forms і оновити її до останньої, якщо доступна. Якщо оновлення неможливе, слід обмежити або видалити приховані поля завантаження файлів у формах, а також зменшити публічний доступ до таких форм. Важливо провести аудит логів на предмет підозрілої активності та переглянути політики безпеки завантаження файлів. DataHouse підтримує перевірку версій плагінів і допомагає з управлінням патчами та зменшенням мережевого впливу.

Джерела

• NVD
• Reference
• Reference