Gravity Forms 3.1.2 版 PHP 物件注入漏洞 (CVE-2026-103039)
CVE-2026-103039 - Gravity Forms <= 3.1.2 - Unauthenticated PHP Object Injection via Post Custom Field
**Gravity Forms 3.1.2 版存在未授權 PHP 物件注入漏洞，攻擊者可透過 Post Custom Field 注入物件，若有附加外掛或主題，可能導致遠端程式碼執行。
此 CVE 詳述 PHP 物件注入機制與遠端執行風險，供開發者評估修補優先順序。
譯文尚未完整，完整內容請切換至原文。
Gravity Forms 外掛對 WordPress 在所有版本至 3.1.2（含）存在 PHP 物件注入漏洞，透過輸入型別為 List 的 Post Custom Field。原因是 GFFormsModel::create_post() 將提交值傳給 WordPress 的 unrestricted global maybe_unserialize()，而非外掛自帶的硬化版 GFCommon::maybe_unserialize()，後者於 3.1.1 加入且傳遞 allowed_classes => false 以防止物件例項化。當該欄位啟用內容模板時，提交的行資料會原樣傳遞給該函式。這使未授權攻擊者能將 PHP 物件注入文章元資料。外掛自身並未包含 PHP 物件注入 gadget 鏈；但若透過其他外掛或佈景主題存在 gadget 鏈，可能允許攻擊者執行遠端程式碼。若自訂欄位對映至受保護的 _wp_page_template meta 鍵，WordPress 本身提供鏈路：validate_file() 接受非標量，WP_Theme::__toString() 會解析攻擊者控制的路徑，且在可讀取 PEAR 安裝且 register_argc_argv 啟用的主機上會導致遠端程式碼執行。
影響
受影響產品
以下產品受到 CVE-2026-103039
漏洞影響。
即使 cvefeed.io 知道受影響產品的確切版本，
該資訊仍未在下表中呈現。
尚未記錄受影響產品
公共漏洞評分系統（Common Vulnerability Scoring System）是一套標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們會收集並顯示各來源的 CVSS 分數，供每個 CVE 使用。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | CRITICAL | MITRE-CVE | ||||
| CVSS 3.1 | CRITICAL | [email protected] |
將 Gravity Forms 外掛更新至最新版本以修復 PHP 物件注入漏洞。
- 將 Gravity Forms 外掛更新至 3.1.3 或更高版本。
- 確認外掛已安全配置。
- 移除任何惡意的文章元資料。
- 審查自訂欄位設定以確保安全。
在此，您將找到一份精選的外部連結清單，提供關於 CVE-2026-103039 的深入資訊、實用解決方案與寶貴工具。
| 網址 | 資源 |
|---|---|
| https://docs.gravityforms.com/ | |
| https://www.wordfence.com/threat-intel/vulnerabilities/id/ec1fba15-81e5-42e3-9154-1978c3f81b26?source=cve |
雖然 CVE 識別特定的漏洞例項，CWE 則將可能導致漏洞的常見缺陷或弱點分類。CVE-2026-103039 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式是描述對手為利用 CVE-2026-103039 弱點所採用的常見屬性與方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞利用。以下清單為已在 GitHub 發布的公開漏洞利用與概念驗證集合（按最近更新時間排序）。
結果僅限於前 15 個倉庫，因為可能會影響效能。
以下清單為在文章中提及 CVE-2026-103039 漏洞的新聞。
以下表格列出隨時間變化對 CVE-2026-103039 漏洞所做的更改。
漏洞歷史細節有助於瞭解漏洞的演變，以及識別可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
新 CVE 已接收 由 [email protected]
十月. 30, 2026
動作 型別 舊值 新值 已新增 說明 WordPress 的 Gravity Forms 外掛在 3.1.2 及以前版本中，因為「Post Custom Field」的輸入型別為 List，存在 PHP 物件注入漏洞。這是因為 GFFormsModel::create_post() 將提交的值傳遞給 WordPress 的全域函式 maybe_unserialize()，而非外掛自身的加固版本 GFCommon::maybe_unserialize()（此函式於 3.1.1 新增，且設定 allowed_classes => false，防止物件例項化）。當該欄位啟用內容模板時，提交的資料會原樣傳遞到該呼叫，導致未經授權的攻擊者可將 PHP 物件注入文章元資料。外掛本身並未包含 PHP 物件注入 gadget chain，但若透過其他外掛或佈景主題存在 gadget chain，攻擊者可能執行遠端程式碼。若自訂欄位對映至受保護的 _wp_page_template meta key，WordPress 本身會提供鏈路：validate_file() 接受非標量值，WP_Theme::__toString() 再解析攻擊者控制的路徑，且在安裝可讀取 PEAR 且 register_argc_argv 啟用的主機上，可導致遠端程式碼執行。 已新增 CVSS V3.1 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 已新增 CWE CWE-502 已新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/103xxx/CVE-2026-103039.json">CVE-2026-103039</a> 已新增 參考 https://docs.gravityforms.com/ 已新增 參考 https://www.wordfence.com/threat-intel/vulnerabilities/id/ec1fba15-81e5-42e3-9154-1978c3f81b26?source=cve
EPSS 是對未來 30 天內觀測到利用活動的機率的每日估計。以下圖表顯示該漏洞的 EPSS 分數歷史。