gravity

A5站长网9月21日消息，WordPress表单插件GravityForms被披露一个未认证的任意文件上传漏洞，编号CVE-2026-84434，CVSS评分为9.8。影响范围是3.1.0.4及之前的所有版本，问题出在文件上传的处理逻辑上：字段验证流程与文件落盘流程彼此独立，可见性被设为隐藏的文件上传字段绕过了扩展名校验，被拒绝的文件状态随后又被交给上传函数处理，中间没有二次验证。触发条件需要说清