→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-103039 · gravityforms

تزریق اشیاء PHP (Object Injection) در افزونه Gravity Forms

افزونه Gravity Forms در نسخه‌های ۳.۱.۲ و قبل از آن، هنگام پردازش فیلد سفارشی پست از نوع List، مقدار ارسالی را به‌جای تابع سخت‌شدهٔ خود افزونه به maybe_unserialize() سراسری و بدون محدودیت وردپرس می‌سپارد و در نتیجه در برابر تزریق شیء PHP آسیب‌پذیر است. مهاجم احرازهویت‌نشده، در صورت فعال بودن قالب محتوا، می‌تواند یک شیء PHP را در متای نوشته تزریق کند؛ زنجیرهٔ گجت در خود افزونه وجود ندارد، اما وجود آن در افزونه یا قالب دیگر می‌تواند این نقص را به دسترسی یا اجرای کد غیرمجاز گسترش دهد. چون وصلهٔ امنیتی منتشر شده است، افزونه را فوراً به نسخه‌ای جدیدتر از ۳.۱.۲ به‌روزرسانی کنید.