漏洞速览
- 漏洞编号：
CVE-2026-19513 - 风险评分：
8.1（高危） - 首次披露：2026-09-01
- 最近更新：2026-09-01
- 软件类型：插件
- 软件标识：
gravityforms - 受影响版本：<= 3.0.2
- 修复版本：3.0.3
- 是否已修复：是
漏洞详情
WordPress 的 Gravity Forms 插件在 3.0.2 及之前所有版本中存在任意文件上传漏洞。问题出在 GFAsyncUpload::upload() 函数对多文件上传分块状态验证不足：公开表单的状态 URL 哈希可被重复用于分块续传，且攻击者可控的临时文件名在未经清洗处理前就会被接受。当公开表单中包含启用了多文件上传的字段时，未认证攻击者即可利用此缺陷，将一个有效的 PNG/PDF 混合文件上传至攻击者指定的公共 .php 或 .html 文件名下的 Gravity Forms 临时上传目录，进而在使用了 NGINX 或其他不执行 .htaccess 规则的 Web 服务器的 WordPress 系统上实现远程代码执行。需注意：Gravity Forms 在安装和激活时会向该目录写入一个 .htaccess 文件，此文件可阻止漏洞利用，尽管 PHP 文件仍会被写入临时上传目录。在 PHP 执行被阻止的情况下，攻击者写入的 HTML 文件可导致存储型同源跨站脚本攻击，前提是受害者访问了生成的文件 URL。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary File Upload via State/Chunk Hash Confusion
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
修复建议
- 按官方建议执行修复：更新至 3.0.3 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
