→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-84434 · gravityforms

آپلود غیرمجاز فایل در افزونه Gravity Forms (Arbitrary File Upload)

افزونه Gravity Forms در نسخه‌های تا ۳.۱.۰.۴ به دلیل عدم تطابق بین خط لوله اعتبارسنجی فیلد و خط لوله ذخیره‌سازی فایل، آسیب‌پذیر به آپلود غیرمجاز فایل است که فیلدهای آپلود فایل مخفی از اعتبارسنجی پسوند عبور کرده و وضعیت آپلود فایل ردشده بدون اعتبارسنجی مجدد به تابع upload_file پاس داده می‌شود. مهاجمان احراز هویت نشده می‌توانند از طریق فرم‌های عمومی حاوی فیلد آپلود فایل با Visibility تنظیم‌شده به Hidden، فایل‌های اجرایی آپلود کرده و اجرای کد از راه دور انجام دهند. با وجود پچ امنیتی، به‌روزرسانی فوری افزونه به نسخه امن توصیه می‌شود.