CVE-2026-84434 — Carga arbitraria de archivos no autenticada en Gravity Forms

Escáner y exploit PoC en Python 3 para CVE-2026-84434 en Gravity Forms.

Plugin	gravityforms
Afectado	≤ 3.1.0.4
Corregido en	3.1.0.5+ (versión de seguridad del proveedor 3.1.1)
CVSS	9.8 (Crítico)
Auth	No autenticado
CWE	CWE-434 — Carga sin restricciones
Crédito	0xd4rk5id3 — EnvoraSec (Wordfence)

Resumen

Los campos ocultos de Carga de archivos omiten la validación de extensión en el pipeline de validación, mientras que la ruta de persistencia aún puede llamar a upload_file() sin las comprobaciones equivalentes. Un atacante no autenticado puede enviar una petición POST a un formulario público que incluya un campo de Carga de archivos con Visibilidad → Oculta.

Los archivos se almacenan en wp-content/uploads/gravity_forms/. Gravity Forms normalmente añade reglas .htaccess para bloquear la ejecución de PHP; la ejecución remota de código depende de la configuración del servidor (nginx, docroot alternativo, etc.).

Flujo del ataque

1. Detectar Gravity Forms y versión ≤ 3.1.0.4
2. Rastrear páginas públicas en busca de gform_wrapper y un campo fileupload oculto (input_{form}_{field})
3. Rellenar los campos visibles obligatorios con valores de relleno
4. POST multipart (gform_submit, is_submit_{id}, archivo en el input oculto)
5. Confirmar mediante mensaje de confirmación / indicios de entrada / obtención opcional de marcador

Requisitos

• Python 3.9+
• pip install -r requirements.txt

Uso

pip install -r requirements.txt

# Check single target
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# Exploit (built-in benign .txt probe unless --payload-file is set)
python poc.py -u https://target.example --mode exploit \
  --form-id 3 --page-url /contact/ --file-field 7

# Custom upload file (your own probe — not included in this repo)
python poc.py -u https://target.example --mode exploit \
  --form-id 3 --page-url /contact/ --file-field 7 \
  --payload-file probe.txt

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 10 --quiet

Opciones de CLI

Opción	Descripción
-u, --url	URL base de un único objetivo
--list	Lista de URLs, CSV estilo FOFA o candidates.jsonl
--mode	check (por defecto) o exploit
--form-id	ID del Gravity Form
--page-url	Ruta o URL de la página que aloja el formulario
--file-field	ID del campo oculto de carga de archivos
--payload-file	Archivo local a subir (por defecto: marcador benigno .txt en memoria)
--paths	Rutas adicionales que rastrear en busca de formularios
--threads, -j	Concurrencia masiva (por defecto 20)
--output	Resultados JSONL (por defecto cve_2026_84434_results.jsonl)
--vuln-list	URLs afectadas o exploits exitosos (por defecto hits.txt)
--candidates-list	Metadatos de comprobación (por defecto candidates.jsonl)
--quiet	Menos salida de progreso en ejecuciones masivas

Salida (comprobación masiva)

Archivo	Contenido
cve_2026_84434_results.jsonl	JSON completo por objetivo
hits.txt	URLs base candidatas
candidates.jsonl	form_id, page_url, file_field / input_name

Valores comunes de status (check)

Estado	Significado
candidate	Versión vulnerable + carga de archivos oculta en un formulario público
forms_no_hidden_upload	Formularios encontrados, ninguno con carga de archivos oculta en el HTML
plugin_no_public_forms	Plugin presente, ningún formulario público descubierto
patched	Versión > 3.1.0.4
no_plugin	Gravity Forms no detectado

Limitaciones

• El modo check solo ve campos de carga ocultos renderizados en el HTML público; los campos ocultos solo para administradores no son descubribles de forma remota.
• Las listas estilo FOFA contienen muchos sitios parcheados o formularios sin carga oculta — espere una tasa de candidatos baja.
• El exploit por defecto sube un marcador de texto inofensivo, no un webshell.

Estructura del repositorio

.
├── poc.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Las listas de escaneo locales y los artefactos (list.txt, *.jsonl, payloads personalizados) están en .gitignore y no deben commitearse.

Legal

Solo para pruebas de seguridad autorizadas. Usted es responsable del cumplimiento de las leyes aplicables y las reglas del programa.