A equipe de inteligência de ameaças da Wordfence, por meio de sua ferramenta Wordfence Argus, identificou em 9 de agosto de 2026 uma vulnerabilidade de upload arbitrário de arquivos no Gravity Forms, plugin de formulários para WordPress que soma mais de um milhão de instalações ativas. A falha, classificada como de alta severidade, permite que invasores não autenticados enviem arquivos com extensões de sua escolha para um diretório público de upload temporário, abrindo caminho para execução remota de código.
Como a falha foi descoberta e corrigida
A descoberta foi possível graças ao Wordfence Argus, ferramenta já mencionada anteriormente pela empresa em outra investigação envolvendo o tema Avada. Segundo a Wordfence, sua atuação está baseada em um modelo de defesa em profundidade, com investimento em pesquisa de vulnerabilidades e cooperação direta com desenvolvedores de plugins para que as brechas sejam corrigidas antes de serem exploradas em larga escala.
O relatório completo sobre a falha foi encaminhado à equipe do Gravity Forms em 11 de agosto de 2026, através do Portal de Gestão de Vulnerabilidades da Wordfence. O reconhecimento por parte dos desenvolvedores ocorreu em 20 de agosto, data em que a versão corrigida 3.0.3 foi disponibilizada. A Wordfence destacou publicamente a agilidade da equipe do Gravity Forms na resposta e correção do problema.
Clientes dos planos Wordfence Premium, Wordfence Care e Wordfence Response já receberam, desde 13 de agosto de 2026, uma regra de firewall específica para bloquear tentativas de exploração conhecidas. Usuários da versão gratuita terão acesso à mesma proteção somente 30 dias depois, a partir de 12 de setembro de 2026. Diante desse prazo, a recomendação é atualizar o plugin para a versão 3.0.3 ou superior o quanto antes.
Detalhes técnicos da vulnerabilidade
A falha, catalogada como CVE-2026-19513 e com pontuação CVSS de 8.1 (alta severidade), afeta todas as versões do Gravity Forms até a 3.0.2. O problema está relacionado à validação insuficiente do estado de upload em múltiplos arquivos na função GFAsyncUpload::upload(), que permite que hashes de estado de formulários públicos sejam reaproveitados como hashes de continuação de blocos de upload (chunks), aceitando nomes de arquivos temporários controlados pelo atacante antes de qualquer sanitização.
Na prática, quando um formulário público possui um campo de upload de arquivo com a opção de múltiplos arquivos habilitada, um invasor sem credenciais pode enviar um arquivo híbrido válido em formato PNG/PDF para um nome de arquivo `.php` ou `.html` escolhido por ele mesmo, dentro do diretório temporário de upload do Gravity Forms. Isso pode resultar em execução remota de código em servidores que utilizam NGINX ou outras plataformas que não respeitam regras de `.htaccess`.
É importante ressaltar que, durante a instalação e ativação do plugin, o Gravity Forms cria automaticamente um arquivo `.htaccess` nesse diretório, o que impede a exploração da falha mesmo quando o arquivo PHP é efetivamente gravado. Nos casos em que a execução de PHP é bloqueada por essa proteção, ainda assim é possível que um arquivo HTML malicioso gere um ataque de cross-site scripting armazenado (stored XSS) caso uma vítima acesse a URL gerada.
A raiz técnica do problema
O Gravity Forms conta com um endpoint de upload de múltiplos arquivos que aceita requisições em blocos (chunks). Cada requisição de continuação identifica o arquivo temporário e fornece um estado que deveria associá-lo ao bloco anterior, ao formulário, ao campo e ao nome do arquivo enviado. Até a versão 3.0.2, essa autenticação era feita por meio da função wp_hash() do WordPress.
O problema é que a mesma operação de hash foi utilizada em dois contextos de segurança completamente distintos. O estado público do formulário inclui um hash da URL da página atual, gerado no arquivo includes/form-display/state/class-state-handler.php. Já o mecanismo de upload em blocos utiliza o mesmo wp_hash(), sem qualquer prefixo específico de contexto, para autenticar um conjunto de valores de continuação separados por barra vertical, no arquivo includes/upload.php.
Como a URL da página pública pode ser manipulada pelo atacante, é possível construir uma URL cujo valor coincida com uma serialização escolhida dos campos do bloco de upload. O hash resultante da URL, gerado para o estado público do formulário, passa então a ser também um hash de continuação de bloco válido. Trata-se de um problema de confusão de domínio criptográfico: o invasor não precisa descobrir a chave secreta do site nem forjar um novo hash — basta reutilizar um hash legítimo criado para outra finalidade.
O impacto é ampliado pela forma como a função GFAsyncUpload::upload() trata o estado de continuação fornecido. Na versão 3.0.2, o sistema verifica o hash sobre o nome de arquivo temporário bruto, controlado pelo atacante, atribui esse valor como nome de destino e só então aplica a função sanitize_file_name() — etapa que ocorre tarde demais para impedir a manipulação do nome do arquivo.
Recomendação aos usuários
Diante da gravidade da falha e da facilidade de exploração por agentes não autenticados, a orientação da Wordfence é clara: administradores de sites WordPress que utilizam o Gravity Forms devem atualizar imediatamente para a versão 3.0.3 ou posterior, garantindo a correção da brecha antes que se torne alvo de exploração em massa.
