Résumé
Le 30 octobre 2026, une faille grave dans le plugin Gravity Forms pour WordPress a été découverte. Elle permet à des attaquants non authentifiés d’injecter des objets PHP dans les données stockées, ce qui pourrait, dans certains cas, mener à une exécution de code à distance (vol de données, prise de contrôle du site). Cette vulnérabilité (CVE-2026-103039) est référencée dans le catalogue KEV des vulnérabilités activement exploitées, et un code d’exploitation public est disponible.
Solutions
Mettez à jour Gravity Forms vers la dernière version corrigée (3.1.3 ou supérieure) pour éliminer cette faille.
Dernière mise à jour : 02/11/2026
La faille est activement exploitée : Oui
Details techniques
Score CVSS : 9.8/10
EPSS : 0.51%
Référencée comme KEV : Oui
Code d exploitation disponible : Oui
Date de détection de l’exploit : 02/11/2026
Systèmes affectés
• Gravity Forms avant 3.1.3
Documentation
• NIST NVD