Gravity Forms: Lokale Dateieinbindung über den chunked File Upload

Zusammenfassung

Das WordPress-Plugin Gravity Forms vor Version 3.2.2 beschränkt die Dateitypen nicht ausreichend, die nicht authentifizierte Benutzer über die Funktion für chunked File Uploads hochladen können. Auf Servern, die Server-Side-Include-Dokumente verarbeiten, etwa Apache mit aktiviertem SSI, kann ein Angreifer Umgebungsvariablen des Servers und Dateien innerhalb des Web-Root auslesen. Für den Angriff ist kein Login nötig, er ist aber mit hoher Komplexität verbunden und die Auswirkung beschränkt sich auf die Vertraulichkeit.

Betroffen

• WordPress-Plugin Gravity Forms, alle Versionen vor 3.2.2
• Hersteller im CVE-Eintrag nicht bestätigt (als Unknown aufgeführt)

Behoben in

• Version 3.2.2 (gemäss WPScan; noch nicht durch das Changelog des Herstellers bestätigt)

Umgehung

• Unbekannt (kein vom Hersteller bestätigter Workaround)
• SSI in Apache auf Hosts deaktivieren, auf denen es nicht benötigt wird; dies entfernt die im Advisory beschriebene Auswirkung auf das Lesen von Dateien (nicht vom Hersteller bestätigt)
• Die Funktion für chunked Uploads nach Möglichkeit deaktivieren (von VulDB vorgeschlagen; nicht vom Hersteller bestätigt)

Ausnutzung

• Stand 10. November 2026 keine Hinweise auf Ausnutzung in freier Wildbahn (OffSeq)
• Nicht im CISA-KEV-Katalog aufgeführt; kein öffentlicher Exploit-Code bekannt
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial

Unsere Empfehlung

• Websites mit Gravity Forms inventarisieren und Versionen unter 3.2.2 identifizieren
• Nach Prüfung des offiziellen Changelogs des Plugins auf Version 3.2.2 oder neuer aktualisieren
• Prüfen, ob Apache SSI auf betroffenen Hosts aktiviert ist, und es deaktivieren, falls es nicht benötigt wird
• Upload-Verzeichnisse von Gravity Forms auf unerwartete Dateien prüfen
• NVD, CISA-KEV-Katalog und das WPScan-Advisory auf Aktualisierungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WPScan advisory for CVE-2026-119529 wpscan.com
• CVE Record CVE-2026-119529 www.cve.org
• WPScan plugin page Gravity Forms wpscan.com
• OffSeq threat radar entry for CVE-2026-119529 radar.offseq.com
• VulDB entry for CVE-2026-119529 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:54.