CVE-2026-4406

Резюме

Плагин Gravity Forms для WordPress уязвим к отражённому межсайтовому скриптингу (Reflected Cross-Site Scripting) через параметр `form_ids` в AJAX-действии `gform_get_config` во всех версиях до 2.9.30 включительно. Это связано с тем, что метод `GFCommon::send_json()` выводит JSON-кодированные данные, обёрнутые в HTML-комментарии, с помощью `echo` и `wp_die()`, что отправляет ответ с заголовком `Content-Type: text/html` вместо `application/json`. Функция `wp_json_encode()` не HTML-кодирует угловые скобки внутри строковых значений JSON, что позволяет внедрённым HTML/script-тегам в значениях массива `form_ids` быть распознанными и выполненными браузером. Необходимый `config_nonce` генерируется с помощью `wp_create_nonce('gform_config_ajax')` и публично встраивается на каждой странице, отображающей форму Gravity Forms, что делает его одинаковым для всех неаутентифицированных посетителей в пределах одного 12-часового тика nonce. Это позволяет неаутентифицированным атакующим внедрять произвольные веб-скрипты на страницы, которые выполняются, если им удастся обманом заставить пользователя совершить действие, например, перейти по ссылке. Данная уязвимость не может быть использована против пользователей, прошедших аутентификацию в целевой системе, но может быть применена для изменения целевой страницы.

• CVE-2026-4406PoC

  Плагин Gravity Forms для WordPress (протестирован до версии 2.9.28) уязвим к неаутентифицированному отражённому межсайтовому скриптингу (XSS) через параметр `form_ids` в AJAX-действии `gform_get_config`.