Sommaire
Gravity Forms, l’un des plugins de formulaires les plus utilisés sur WordPress, vient de corriger une faille critique. Référencée CVE-2026-103039 et notée 9,8/10, elle touche toutes les versions jusqu’à la 3.1.2 incluse, selon la fiche Wordfence publiée le 29 octobre 2026.
Un attaquant non authentifié peut injecter un objet PHP via un champ personnalisé de publication (Post Custom Field) de type Liste, quand un modèle de contenu est activé : la valeur soumise atteint la désérialisation non protégée de WordPress au lieu de la version durcie du plugin. Le plugin seul ne contient pas de chaîne d’exploitation, mais combiné à un autre plugin, à un thème, ou à une configuration d’hébergement particulière, cela peut mener à l’exécution de code à distance. Le correctif, c’est la version 3.1.3 : mettez à jour sans attendre. Aucun code d’exploitation public n’est confirmé pour le moment.
Lento dit : un formulaire, c’est la porte d’entrée de votre site. Si Gravity Forms traîne en 3.1.2 ou plus vieux chez vous, vous laissez cette porte entrouverte — la mise à jour prend deux minutes, l’attaque, elle, n’en prend qu’une.
