CVE-2026-84434 — Upload Arbitrário de Arquivo Não Autenticado no Gravity Forms

Scanner PoC e exploit em Python 3 para CVE-2026-84434 no Gravity Forms.

Resumo

Campos ocultos de File Upload ignoram a validação de extensão no pipeline de validação, enquanto o caminho de persistência ainda pode chamar upload_file() sem verificações equivalentes. Um atacante não autenticado pode enviar um POST para um formulário público que inclua um campo File Upload com Visibility → Hidden.

Os arquivos são armazenados em wp-content/uploads/gravity_forms/. O Gravity Forms normalmente adiciona regras .htaccess para bloquear a execução de PHP; o RCE depende da configuração do servidor (nginx, docroot alternativo, etc.).

Fluxo do ataque

1. Detectar o Gravity Forms e a versão ≤ 3.1.0.4
2. Rastrear páginas públicas em busca de gform_wrapper e de um campo fileupload oculto (input_{form}_{field})
3. Preencher os campos visíveis obrigatórios com placeholders
4. POST multipart (gform_submit, is_submit_{id}, arquivo no input oculto)
5. Confirmar via mensagem de confirmação / dicas de entrada / busca opcional de marcador

Requisitos

• Python 3.9+
• pip install -r requirements.txt

Uso

pip install -r requirements.txt

# Check single target
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 30 --quiet

# Exploit (built-in benign .txt probe unless --payload-file is set)
python poc.py -u https://target.example --mode exploit \
  --form-id 3 --page-url /contact/ --file-field 7

# Custom upload file (your own probe — not included in this repo)
python poc.py -u https://target.example --mode exploit \
  --form-id 3 --page-url /contact/ --file-field 7 \
  --payload-file probe.txt

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 10 --quiet

Opções da CLI

Saída (verificação em massa)

Valores comuns de status (check)

Limitações

• O modo check só vê campos de upload ocultos renderizados no HTML público; campos ocultos exclusivos do admin não são descobríveis remotamente.
• Listas no estilo FOFA contêm muitos sites corrigidos ou formulários sem upload oculto — espere baixa taxa de candidatos.
• O exploit padrão envia um marcador de texto inofensivo, não um webshell.

Estrutura do repositório

.
├── poc.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Listas de varredura locais e artefatos (list.txt, *.jsonl, payloads personalizados) estão no .gitignore e não devem ser commitados.

Legal

Apenas para testes de segurança autorizados. Você é responsável pela conformidade com as leis aplicáveis e as regras do programa.