17 сентября 2026 года в реестре CVE опубликовали уязвимость Multi Uploader for Gravity Forms: версии по 1.1.9 включительно позволяют посетителю без авторизации загрузить произвольный файл. Это может привести к выполнению кода на сервере. Разработчик указал исправление в версии 1.1.10 в журнале изменений плагина.
Multi Uploader добавляет расширенную загрузку файлов к Gravity Forms. Проверять нужно именно дополнение со slug gf-multi-uploader, а не только версию основного конструктора форм. Обновление одного компонента не обновляет другой.
Где возникала ошибка
CVE-2026-87796 связана с обработкой загрузки по частям. При переносе файла функция move_file недостаточно проверяла его тип. В результате на сервер мог попасть файл, который форма не должна принимать.
Выполнение кода зависит от того, где сохранился файл и разрешает ли сервер запускать такие файлы. Это не делает саму запись произвольного файла безопасной: проверка должна происходить до его размещения в доступном каталоге.
В 1.1.10 разработчик описал несколько изменений: проверку типов перед промежуточным сохранением, запрет исполняемых двойных расширений, хранение частей вне корня сайта и ограничение размера собранного файла. Временные файлы также связали с токенами загрузки и полями формы.
Обновление и проверка сайта
Установите актуальную поддерживаемую версию, содержащую исправление 1.1.10. Затем проверьте обычную отправку формы, большую загрузку по частям и отклонение запрещённых типов. В каталоге разработчик отдельно предупреждает: файлы, загруженные до обновления безопасности в ещё не отправленных формах, нужно загрузить заново.
Если обновление пока невозможно, временно отключите дополнение и связанные с ним формы загрузки. Запрет исполнения PHP в каталоге загрузок полезен как дополнительная защита, но не заменяет исправление проверки файлов.
Для этого плагина патч уже существует. После установки стоит проверить и старые временные файлы: исправленный обработчик не удаляет автоматически последствия возможной предыдущей атаки.
У основного плагина отдельная история: ошибка загрузки через скрытое поле Gravity Forms.
