CVE-2026-4406

Resumo

O plugin Gravity Forms para WordPress é vulnerável a Cross-Site Scripting Refletido por meio do parâmetro `form_ids` na ação AJAX `gform_get_config` em todas as versões até, e incluindo, a 2.9.30. Isso se deve ao método `GFCommon::send_json()` que gera dados codificados em JSON envolvidos em delimitadores de comentário HTML usando `echo` e `wp_die()`, o que serve a resposta com um cabeçalho `Content-Type: text/html` em vez de `application/json`. A função `wp_json_encode()` não codifica em HTML os colchetes angulares dentro dos valores de string JSON, permitindo que tags HTML/script injetadas nos valores do array `form_ids` sejam analisadas e executadas pelo navegador. O `config_nonce` necessário é gerado com `wp_create_nonce('gform_config_ajax')` e é incorporado publicamente em todas as páginas que renderizam um formulário Gravity Forms, tornando-o idêntico para todos os visitantes não autenticados dentro do mesmo intervalo de 12 horas do nonce. Isso possibilita que atacantes não autenticados injetem scripts web arbitrários em páginas que são executados se conseguirem enganar um usuário para realizar uma ação como clicar em um link. Esta vulnerabilidade não pode ser explorada contra usuários autenticados no sistema alvo, mas poderia ser usada para alterar a página alvo.

• CVE-2026-4406PoC

  O plugin Gravity Forms para WordPress (testado até a versão 2.9.28) é vulnerável a cross-site scripting (XSS) refletido não autenticado por meio do parâmetro `form_ids` na ação AJAX `gform_get_config`.