Gravity Forms: PHP-Objektinjektion durch Deserialisierung nicht vertrauenswürdiger Daten
Zusammenfassung
Gravity Forms, ein WordPress-Formularplugin, enthält eine Deserialisierungsschwachstelle (CWE-502), die PHP-Objektinjektion ermöglicht. Laut Patchstack-Eintrag kann ein nicht authentifizierter Angreifer über das Netzwerk präparierte Eingaben senden, um die Datenverarbeitung der Website zu manipulieren und schädliche Aktionen auf dem Server auszuführen. Das tatsächliche Ausmass hängt von Gadget-Ketten in installierten Plugins, Themes oder in PHP ab.
Betroffen
- Gravity Forms-Versionen vor 3.1.1 (untere Grenze unbekannt; der CNA-Eintrag lautet "from n/a")
- Einzelne Quellen nennen nur Versionen bis 3.1.0; alle Builds vor 3.1.1 gelten als betroffen
- Eine separate Schwachstelle, CVE-2026-103039, betrifft laut Berichten Versionen bis einschliesslich 3.1.2
Behoben in
- Gravity Forms 3.1.1 (gemäss CNA-Eintrag und Patchstack)
- Die neueste verfügbare Gravity Forms-Version installieren, nicht nur 3.1.1, da CVE-2026-103039 laut Berichten die Härtung aus 3.1.1 umgeht
- Fix-Version für CVE-2026-103039: nicht verifiziert (eine Sekundärquelle nennt 3.1.3)
Umgehung
- Unbekannt. Es ist keine vom Hersteller freigegebene Umgehungslösung dokumentiert.
- Übergangsmassnahme: Zugriff auf Formular-Übermittlungsendpunkte bis zur Aktualisierung über eine Web Application Firewall einschränken.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Keine Hinweise auf Ausnutzung in freier Wildbahn; CISA SSVC führt die Ausnutzung als none und die Automatisierbarkeit als no.
- Patchstack erwartet, dass die Schwachstelle ausgenutzt wird, und nennt den Einsatz in Massenausnutzungskampagnen.
- EPSS: 0.00257.
Unsere Empfehlung
- Alle WordPress-Websites mit Gravity Forms auf die neueste verfügbare Version, mindestens 3.1.1, aktualisieren.
- Aus dem Internet erreichbare WordPress-Websites mit installiertem Gravity Forms ermitteln und priorisieren.
- Bis zur Aktualisierung WAF-Regeln anwenden, die schädliche Anfragen an Formularendpunkte blockieren, sofern verfügbar.
- Logs auf ungewöhnliche Anfragen an Formular-Übermittlungsendpunkte prüfen.
- CVE-2026-103039 verfolgen und die Fix-Version beim Hersteller verifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Gravity Forms 3.1.1 release blog www.gravityforms.com
- Ionix threat center www.ionix.io
- VulDB CVE-2026-97296 vuldb.com
- VulDB vulnerability 421184 vuldb.com
- Tenable CVE-2026-97296 www.tenable.com
- WPScan Gravity Forms wpscan.com
- VulDB vulnerability 428960 (CVE-2026-103039) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.