CVE-2026-103039 | امتیاز 9.8
افشای عمومی: ۲۹ اکتبر ۲۰۲۶
نسخه‌های 3.1.2 و قدیمی‌تر، در فرم دارای Post Custom Field از نوع List با قالب محتوا، امکان تزریق شیء PHP بدون ورود را دارند.
در صورت وجود شرایط و زنجیره مناسب، این نقص می‌تواند به اجرای کد روی سرور منجر شود. بهره‌برداری فعال تأیید نشده است.
✅ فوراً به 3.1.3 یا جدیدتر ارتقا دهید.
تا زمان نصب اصلاحیه، فرم‌های عمومی دارای این پیکربندی را غیرفعال کنید.
منبع:
https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/gravityforms/gravity-forms-312-unauthenticated-php-object-injection-via-post-custom-field
~~~~
✅ @WebBanSecurity
