Veille sécuritéCMS & e-commerce
P4Moyenne
Gravity Forms antérieur à 3.2.2 ne restreint pas correctement les types de fichiers téléversés sans authentification par sa fonction de téléversement par morceaux. Sur les serveurs configurés pour interpréter les documents SSI, cela peut permettre de lire des variables d’environnement et des fichiers du répertoire web.
WordPress
IdentifiantCVE-2026-119529
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif3.2.2
Source : NVD — CVE-2026-119529
Analyse technique
L’impact décrit dépend notamment d’une configuration serveur qui interprète les documents SSI, par exemple Apache avec SSI activé.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-11, à l’intérieur de la période demandée. Sa mise à jour ultérieure, le 2026-11-12, n’est pas retenue comme événement de la période.
ImpactDans les configurations SSI concernées, lecture de variables d’environnement et de fichiers accessibles dans le répertoire web.
Versions affectéesVersions antérieures à 3.2.2
Version corrigée3.2.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.9
EPSS0,25% · percentile 17,2%
Publication2026-11-11T06:17:16.207Z
Mise à jour2026-11-12T18:49:18.840Z
Action recommandée
Mettre à jour Gravity Forms vers la version 3.2.2 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).