CVE-2026-4406

总结

WordPress 的 Gravity Forms 插件在 `gform_get_config` AJAX 操作中通过 `form_ids` 参数存在反射型跨站脚本漏洞，影响所有版本直至并包括 2.9.30。该漏洞源于 `GFCommon::send_json()` 方法使用 `echo` 和 `wp_die()` 输出包裹在 HTML 注释分隔符中的 JSON 编码数据，导致响应以 `Content-Type: text/html` 标头而非 `application/json` 提供。`wp_json_encode()` 函数不会对 JSON 字符串值中的尖括号进行 HTML 编码，从而允许注入到 `form_ids` 数组值中的 HTML/脚本标签被浏览器解析并执行。所需的 `config_nonce` 通过 `wp_create_nonce('gform_config_ajax')` 生成，并公开嵌入在渲染 Gravity Forms 表单的每个页面上，因此在相同的 12 小时 nonce 周期内，对所有未认证访客而言该值完全相同。这使得未认证攻击者能够注入任意 Web 脚本到页面中，如果能够成功诱骗用户执行诸如点击链接之类的操作，这些脚本便会执行。该漏洞无法针对目标系统上已认证的用户进行利用，但可用于篡改目标页面。

• CVE-2026-4406PoC

  Gravity Forms 插件（WordPress 版，测试至 2.9.28 版本）存在未认证的反射型跨站脚本（XSS）漏洞，该漏洞通过 `gform_get_config` AJAX 操作中的 `form_ids` 参数触发。