Gravity Forms: Unauthentifizierte PHP Object Injection über Post Custom Field

Zusammenfassung

Das WordPress-Plugin Gravity Forms bis und mit Version 3.1.2 erlaubt es nicht authentifizierten Angreifern, ein PHP-Objekt in die Post-Meta-Daten von WordPress einzuschleusen. Der Angriff nutzt ein Formularfeld vom Typ List, das einem Post Custom Field zugeordnet ist und bei dem eine Content-Vorlage aktiviert ist. Das Plugin selbst enthält keine Gadget Chain, daher hängen die Auswirkungen von anderen installierten Plugins oder Themes ab. Existiert eine Gadget Chain oder ist das Feld dem Meta-Schlüssel _wp_page_template zugeordnet, auf einem Host mit lesbarer PEAR-Installation und aktiviertem register_argc_argv, ist Remote Code Execution möglich. CVSS 9.8 (kritisch).

Betroffen

• Gravity Forms Plugin für WordPress, alle Versionen bis und mit 3.1.2

Behoben in

Unbekannt. Zum Zeitpunkt der Erstellung wurde kein Herstellerfix bestätigt. Die Versionen 3.1.1 und 3.1.2 dürfen für diese Schwachstelle nicht als behoben gelten.

Umgehung

• Felder vom Typ List, die Post Custom Fields zugeordnet sind, aus öffentlichen Formularen entfernen, insbesondere wenn eine Content-Vorlage aktiviert ist.
• Hosts auf eine lesbare PEAR-Installation und die Einstellung register_argc_argv prüfen. Deaktivieren reduziert das Risiko, ist aber kein Fix.
• Post-Meta-Daten auf unerwartete serialisierte Objektdaten prüfen.
• Beim WAF-Anbieter nachfragen, ob ein Virtual Patch existiert (nicht verifiziert).

Ausnutzung

• VulDB meldet, dass der Angriff remote durchgeführt werden kann.
• Es wurde kein öffentlicher Exploit oder Proof of Concept gefunden.
• Ein automatischer Aggregator führt die CVE als nicht im CISA KEV. Dies ist nicht verifiziert; der CISA-Katalog sollte direkt geprüft werden.

Unsere Empfehlung

• Alle WordPress-Websites mit Gravity Forms identifizieren und die genaue Version erfassen.
• Formulare auf die betroffene Konfiguration prüfen und diese aus öffentlichen Formularen entfernen, bis ein Herstellerfix bestätigt ist.
• Vor Änderungen ein Backup erstellen und den Hersteller auf einen Fix überwachen.
• Post-Meta-Daten auf verdächtige serialisierte Daten prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence advisory www.wordfence.com
• VulDB entry vuldb.com
• Strix CVE record www.strix.ai
• Gravity Forms documentation docs.gravityforms.com
• Patchstack: unauthenticated PHP object injection in Gravity Forms (2023, earlier issue) patchstack.com
• GitHub CVE aggregator issue github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:47.