CVE-2026-5113 in Gravity Forms Plugin
Zusammenfassung
von VulDB • 02.06.2026
Das Gravity Forms-Plugin für WordPress ist in Versionen bis einschließlich 2.10.0 anfällig für Stored Cross-Site Scripting (XSS) über versteckte Eingabefelder im Zustimmungsformular (Consent field). Dies ist auf einen fehlerhaften Mechanismus zur Zustandsvalidierung zurückzuführen, der bei der Eingabevalidierung durch wp_kses() versagt („fails open"), kombiniert mit unzureichender Ausgabe-Escaping. Die Logik zur Zustandsvalidierung erstellt zwei Hashes (für die rohe Eingabe und die durch wp_kses() bereinigte Eingabe) und schlägt die Validierung nur fehl, wenn BEIDE Hashes nicht mit dem ursprünglichen Zustand übereinstimmen. Wenn ein Angreifer XSS-Payloads unter Verwendung von Tags injiziert, die von wp_kses() entfernt werden (wie <script>), stimmt der bereinigte Hash überein, während der bösartige Rohwert beibehalten und in der Datenbank gespeichert wird. Wenn Administratoren die Seite „Eintragsliste" (Entries List) aufrufen, wird das gespeicherte bösartige Zustimmungslabel abgerufen und ohne Escaping ausgegeben, wodurch die XSS-Payload ausgeführt wird. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Web-Skripte in Einträgen zu injizieren, die jedes Mal ausgeführt werden, wenn ein authentifizierter Administrator die Eintragsliste aufruft.
If you want to get best quality of vulnerability data, you may have to visit VulDB.