Kritische Sicherheitslücke in Gravity Forms WordPress-Plugin entdeckt (CVE-2026-84434)
Im WordPress-Plugin Gravity Forms wurde eine kritische Sicherheitslücke (CVE-2026-84434) entdeckt. Sie ermöglicht Angreifern, beliebige Dateien auf den Server hochzuladen (Arbitrary File Upload).
Was ist passiert?
Im WordPress-Plugin Gravity Forms wurde eine kritische Sicherheitslücke (CVE-2026-84434) entdeckt. Sie ermöglicht Angreifern, beliebige Dateien auf den Server hochzuladen (Arbitrary File Upload). Dies ist möglich, da versteckte Datei-Upload-Felder die Validierung der Dateierweiterung umgehen und hochgeladene Dateien ohne erneute Prüfung verarbeitet werden.
Wer ist betroffen?
Betroffen sind alle Installationen des Gravity Forms Plugins für WordPress bis einschliesslich Version 3.1.0.4. Eine Ausnutzung ist möglich, wenn ein Formular ein verstecktes Datei-Upload-Feld enthält. Angreifer benötigen keine Authentifizierung und können die Schwachstelle über jedes öffentlich zugängliche Formular mit dieser Konfiguration ausnutzen.
Wie kritisch ist es?
Die Schwachstelle wird mit einem CVSS-Score von 9.8 als 'kritisch' eingestuft. Sie ermöglicht Angreifern die Ausführung von beliebigem Code auf dem Server (Remote Code Execution). Die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage liegt laut EPSS bei 4 %. Eine aktive Ausnutzung ist laut CISA KEV derzeit nicht gelistet.
Was ist jetzt zu tun?
Prüfen Sie umgehend, ob Ihr Gravity Forms Plugin die Version 3.1.0.4 oder eine frühere Version aufweist. Überwachen Sie die offiziellen Kanäle von Gravity Forms auf Sicherheitsupdates und installieren Sie diese zeitnah. Prüfen Sie zudem Ihre Formulare auf versteckte Datei-Upload-Felder und deaktivieren Sie diese, falls sie nicht zwingend benötigt werden.
Quellen: NVD (CVE-2026-84434), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.