WordPress form eklentisi Gravity Forms'ta giriş gerektirmeyen PHP object injection açığı ve iki stored XSS açığı

WordPress güvenlik şirketi Wordfence, 30 Ekim’de WordPress için form eklentisi Gravity Forms’taki üç açık için CVE kaydı yayımladı. En ciddisi olan CVE-2026-103039, giriş yapmamış bir saldırganın siteye PHP nesnesi yerleştirmesine (PHP object injection) izin veriyor. Açığın CVSS 3.1 puanı 9.8 ve açık 3.1.2 ve önceki bütün sürümleri etkiliyor.

Açığın kaynağı

CVE kaydına göre açık, girdi türü “List” olan bir “Post Custom Field” alanında ortaya çıkıyor. Eklentinin yazı oluşturan işlevi (GFFormsModel::create_post()), gönderilen değeri eklentinin 3.1.1 sürümünde eklenen ve nesne oluşturulmasını engelleyen kendi güvenli işlevine değil, WordPress’in kısıtlamasız maybe_unserialize() işlevine veriyor. Alanda içerik şablonu açıksa gönderilen satır bu işleve olduğu gibi ulaşıyor. Böylece giriş yapmamış bir saldırgan yazı meta verisine bir PHP nesnesi yerleştirebiliyor.

Kayda göre eklentinin kendisinde bir istismar zinciri (gadget chain) yok. Ancak sitede kurulu başka bir eklenti ya da tema böyle bir zincir sağlıyorsa saldırgan sunucuda kod çalıştırmak gibi işlemler yapabiliyor. Özel alan, korunan _wp_page_template meta anahtarına eşlenmişse zinciri WordPress’in kendisi sağlıyor ve okunabilir bir PEAR kurulumu olan ve register_argc_argv ayarı açık sunucularda bu, kod çalıştırmaya varıyor. CVE kayıtlarındaki CISA değerlendirmesine göre 30 Ekim itibarıyla açıkların saldırılarda kullanıldığı bilinmiyor.

Diğer iki açık

CVE kayıtlarına göre CVE-2026-97645 (3.1.2 ve öncesi), “List” alanı üzerinden giriş yapmamış saldırganların zararlı betik bırakmasına izin veren bir stored XSS açığı. Açığın kullanılabilmesi için yöneticinin kayıt ayrıntıları ekranında zararlı bağlantıya tıklayıp bir onay penceresini kabul etmesi gerekiyor. CVE-2026-90437 (3.1.1 ve öncesi) ise Post Excerpt, Post Custom Field ve zengin metin düzenleyicisi açık Paragraph Text alanlarına gönderilen değerler üzerinden giriş yapmamış saldırganların zararlı betik bırakmasına izin veriyor. İki açığın da CVSS 3.1 puanı 7.2.

Etkilenen ve düzeltilmiş sürümler

• CVE-2026-103039 ve CVE-2026-97645: 3.1.2 ve önceki sürümler etkileniyor.
• CVE-2026-90437: 3.1.1 ve önceki sürümler etkileniyor.
• Gravity Forms’un sürüm notlarında 1 Ekim’de yayımlanan 3.1.3 için “güvenlik iyileştirmeleri” yer alıyor. Sürüm notları açıkları adıyla anmıyor. Eklentinin en güncel sürümü 28 Ekim tarihli 3.2.1.

Önerilen önlemler

CVE kayıtlarına göre açıklar 3.1.2 ve önceki sürümleri etkilediği için Gravity Forms kullanan sitelerin eklentiyi 3.1.2’den yeni bir sürüme güncellemesi gerekiyor. Wordfence’in açık kayıtlarında geçici bir önlem yer almıyor.