Gravity Forms : injection d’objet PHP via un champ personnalisé de type Liste

Veille sécuritéCMS & e-commerce

P3Critique

Gravity Forms jusqu’à la version 3.1.2 incluse est vulnérable à une injection d’objet PHP via un champ personnalisé de type Liste utilisé comme champ personnalisé d’article. Selon la configuration et la présence d’une chaîne de gadgets dans un autre composant ou dans WordPress, cela peut conduire à des actions supplémentaires, voire à l’exécution de code dans certaines conditions d’hébergement.

IdentifiantCVE-2026-103039

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-103039

Analyse technique

GFFormsModel::create_post() transmet une valeur soumise à maybe_unserialize() sans restriction des classes; la protection GFCommon::maybe_unserialize() n’est pas utilisée dans ce chemin.

Impact, versions et correctif

Événement datéPublication NVD indiquée le 2026-10-30, dans la période demandée; retenue comme nouvelle vulnérabilité.

ImpactInjection d’objet PHP; des conséquences plus graves peuvent dépendre de gadgets disponibles dans l’environnement et de conditions d’hébergement.

Versions affectéesGravity Forms jusqu’à et y compris 3.1.2

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.8

EPSS0,51% · percentile 43,4%

Publication2026-10-30T07:16:30.733Z

Mise à jour2026-10-30T16:17:35.110Z

Action recommandée

Aucune version corrigée n’est précisée dans les informations fournies; limiter l’exposition des formulaires concernés et appliquer un correctif dès sa disponibilité.

Sources

NVD — CVE-2026-103039

Priorisation DFS : P3 · 1 source(s).