CVE-2026-4406

Zusammenfassung

Das Gravity Forms Plugin für WordPress ist anfällig für Reflected Cross-Site Scripting über den Parameter `form_ids` in der AJAX-Aktion `gform_get_config` in allen Versionen bis einschließlich 2.9.30. Dies ist auf die Methode `GFCommon::send_json()` zurückzuführen, die JSON-kodierte Daten, eingebettet in HTML-Kommentar-Begrenzer, mithilfe von `echo` und `wp_die()` ausgibt, wodurch die Antwort mit einem `Content-Type: text/html`-Header statt `application/json` ausgeliefert wird. Die Funktion `wp_json_encode()` HTML-kodiert keine spitzen Klammern innerhalb von JSON-String-Werten, wodurch injizierte HTML-/Script-Tags in den Werten des `form_ids`-Arrays vom Browser geparst und ausgeführt werden können. Das erforderliche `config_nonce` wird mit `wp_create_nonce('gform_config_ajax')` generiert und ist öffentlich auf jeder Seite eingebettet, die ein Gravity Forms Formular rendert, wodurch es für alle nicht authentifizierten Besucher innerhalb desselben 12-Stunden-Nonce-Zyklus identisch ist. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte auf Seiten zu injizieren, die ausgeführt werden, wenn sie einen Benutzer erfolgreich dazu verleiten können, eine Aktion wie das Klicken auf einen Link durchzuführen. Diese Schwachstelle kann nicht gegen Benutzer ausgenutzt werden, die auf dem Zielsystem authentifiziert sind, könnte jedoch verwendet werden, um die Zielseite zu verändern.

• CVE-2026-4406PoC

  Das Gravity Forms Plugin für WordPress (getestet bis Version 2.9.28) ist anfällig für unauthentifiziertes reflektiertes Cross-Site-Scripting (XSS) über den Parameter `form_ids` in der AJAX-Aktion `gform_get_config`.