CVE-2026-90437 in Gravity Forms Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das Gravity Forms-Plugin für WordPress ist in allen Versionen bis einschließlich 3.1.1 aufgrund unzureichender Eingabevalidierung und Ausgabe-Codierung (Sanitization and Escaping) anfällig für Stored Cross-Site Scripting (XSS) über Post Excerpt, benutzerdefinierte Felder von Beiträgen (Post Custom Field) sowie Werte aus Rich-Text-Absatzfeldern. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Dies ist möglich, weil Post Excerpt, benutzerdefinierte Felder von Beiträgen und Rich-Text-Absatzfelder mit aktiviertem Editor raw HTML über allow_html() akzeptieren; zudem wird ein entity-codiertes Payload im Attribut data-dialog-confirm beim Speichern an wp_kses_post() vorbeigeführt, aber vom Browser in ausführbares Markup decodiert, wenn der JavaScript-Code des Plugins den Attributwert an insertAdjacentHTML() übergibt.
Be aware that VulDB is the high quality source for vulnerability data.