【漏洞通告】WordPress Gravity Forms PHP对象注入漏洞（CVE-2023-28782）

一、漏洞概述

CVE   ID	CVE-2023-28782	发现时间	2023-05-31
类    型	注入	等    级	高危
攻击向量	网络	所需权限	无
攻击复杂度	低	用户交互	无
PoC/EXP		在野利用

Gravity Forms（高级WordPress插件）是一个自定义表单生成器，可用于创建支付、注册、文件上传、访客网站互动或交易所需的表单，在全球范围内拥有近100 万的活跃安装量。

5月31日，启明星辰VSRC监测到Gravity Forms 插件中被披露存在PHP 对象注入漏洞（CVE-2023-28782），目前该漏洞的细节已经公开披露。

Gravity Forms插件版本<= 2.7.3中，由于用户提供的输入在传递给may_unserialize函数（PHP unserialize函数的包装器）之前未正确过滤，未经身份验证的用户可以将序列化字符串传递给易受攻击的反序列化调用，从而导致将任意 PHP 对象注入应用程序。该漏洞可以在Gravity Forms插件的默认安装或配置上触发，成功利用该漏洞可能导致任意文件访问或修改、信息泄露或代码执行等。

二、影响范围

Gravity Forms插件版本：<= 2.7.3

三、安全措施

3.1 升级版本

目前该漏洞已经修复，受影响用户可升级到以下版本：

Gravity Forms插件版本：>=2.7.4

下载链接：

https://www.gravityforms.com/

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://patchstack.com/articles/unauthenticated-php-object-injection-in-gravity-forms-plugin/

https://www.bleepingcomputer.com/news/security/wordpress-plugin-gravity-forms-vulnerable-to-php-object-injection/

原文始发于微信公众号（维他命安全）：【漏洞通告】WordPress Gravity Forms PHP对象注入漏洞（CVE-2023-28782）