CVE-2026-4406

Résumé

Le plugin Gravity Forms pour WordPress est vulnérable au Cross-Site Scripting réfléchi via le paramètre `form_ids` dans l'action AJAX `gform_get_config` dans toutes les versions jusqu'à la 2.9.30 incluse. Cela est dû à la méthode `GFCommon::send_json()` qui génère des données encodées en JSON entourées de délimiteurs de commentaires HTML en utilisant `echo` et `wp_die()`, ce qui sert la réponse avec un en-tête `Content-Type: text/html` au lieu de `application/json`. La fonction `wp_json_encode()` n'encode pas en HTML les chevrons dans les valeurs de chaîne JSON, ce qui permet aux balises HTML/script injectées dans les valeurs du tableau `form_ids` d'être analysées et exécutées par le navigateur. Le `config_nonce` requis est généré avec `wp_create_nonce('gform_config_ajax')` et est intégré publiquement sur chaque page qui affiche un formulaire Gravity Forms, ce qui le rend identique pour tous les visiteurs non authentifiés au cours du même intervalle de nonce de 12 heures. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires dans les pages qui s'exécutent s'ils parviennent à tromper un utilisateur pour qu'il effectue une action telle que cliquer sur un lien. Cette vulnérabilité ne peut pas être exploitée contre les utilisateurs authentifiés sur le système cible, mais pourrait être utilisée pour modifier la page cible.

• CVE-2026-4406PoC

  Le plugin Gravity Forms pour WordPress (testé jusqu'à la version 2.9.28) est vulnérable à un cross-site scripting (XSS) réfléchi non authentifié via le paramètre `form_ids` dans l'action AJAX `gform_get_config`.