Udnyttet sårbarhed

CVE-2026-84434

TLP:CLEAR

Ubegrænset upload af fil med farlig type

Gravity Forms-pluginet til WordPress er sårbart over for vilkårlig fil upload i alle versioner op til og med 3.1.0.4 via upload_file-funktionen. Dette skyldes et mismatch mellem field validation-pipelinen og file persistence-pipelinen, hvor skjulte fil upload-felter omgår udvidelsesvalidering og en afvist fils intakte upload-tilstand er senere sendt til upload_file() uden re-v

Fakta

Leverandør: Gravity Forms
Produkt: Gravity Forms
CVSS: 9.8
EPSS (sandsynlighed for udnyttelse inden for 30 dage): 3,9 %
Første kendte udnyttelse: 18. september 2026
Første gang set af Risk Letters: 19. september 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD