CVE-2026-5112 in Gravity Forms Plugin
الملخص
بحسب VulDB • 02/06/2026
يحتوي مكون Gravity Forms الإضافي لـ WordPress على ثغرة تسمح بتنفيذ نصوص متقاطعة عبر المواقع (XSS) مخزنة دون حاجة إلى مصادقة في الإصدارات حتى 2.10.0 شاملاً. وتعود هذه الثغرة إلى عدم كفاية التحقق من صحة المدخلات وإخراج الهروب من الرموز الخاصة (escaping) لأسماء منتجات حقل "حساب المنتج" (Calculation Product field) عند عرضها داخل حقول التكرار (Repeater fields). تقوم طريقة validate() في فئة GF_Field_Calculation بالتحقق فقط من حقل الكمية (.3) وتتجاهل تماماً حقل اسم المنتج (.1)، مما يسمح بمرور أكواد HTML خبيثة دون عوائق. عند حفظ القيمة، تُعيد طريقة sanitize_entry_value() القيمة الخام دون تطهيرها للحقول التي لا يُتوقع فيها وجود HTML. تالياً، عند عرض الإدخال في لوحة تحكم wp-admin، تقوم طريقة get_value_entry_detail() بدمج اسم المنتج غير المعالج مباشرةً في سلسلة الإخراج، والتي يتم عرضها بعد ذلك بواسطة طريقة get_value_entry_detail() الخاصة بعنصر التكرار دون مزيد من الهروب من الرموز. وهذا يتيح للمهاجمين غير المصادق عليهم حقن نصوص ويب عشوائية عبر تقديم النماذج، والتي سيتم تنفيذها كلما قام مسؤول مصادق عليه، يمتلك صلاحية gravityforms_view_entries، بصفحة تفاصيل الإدخال.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.