CVE-2026-4406

Riepilogo

Il plugin Gravity Forms per WordPress è vulnerabile a Cross-Site Scripting Riflesso tramite il parametro `form_ids` nell'azione AJAX `gform_get_config` in tutte le versioni fino alla 2.9.30 inclusa. Ciò è dovuto al metodo `GFCommon::send_json()` che restituisce dati codificati in JSON racchiusi in delimitatori di commento HTML utilizzando `echo` e `wp_die()`, che serve la risposta con un header `Content-Type: text/html` invece di `application/json`. La funzione `wp_json_encode()` non codifica in HTML le parentesi angolari all'interno dei valori stringa JSON, consentendo ai tag HTML/script iniettati nei valori dell'array `form_ids` di essere analizzati ed eseguiti dal browser. Il `config_nonce` richiesto viene generato con `wp_create_nonce('gform_config_ajax')` ed è incorporato pubblicamente in ogni pagina che visualizza un modulo Gravity Forms, rendendolo identico per tutti i visitatori non autenticati nello stesso intervallo di nonce di 12 ore. Ciò rende possibile per attaccanti non autenticati iniettare script web arbitrari nelle pagine che vengono eseguiti se riescono a indurre un utente a compiere un'azione come fare clic su un link. Questa vulnerabilità non può essere sfruttata contro utenti autenticati sul sistema di destinazione, ma potrebbe essere utilizzata per alterare la pagina di destinazione.

• CVE-2026-4406PoC

  Il plugin Gravity Forms per WordPress (testato fino alla versione 2.9.28) è vulnerabile a cross-site scripting (XSS) riflesso non autenticato tramite il parametro `form_ids` nell'azione AJAX `gform_get_config`.