CVE-2026-4394 in Gravity Forms Plugin
Résumé
par VulDB • 02/06/2026
Le plugin Gravity Forms pour WordPress est vulnérable à un Cross-Site Scripting (XSS) stocké via le sous-champ « Card Type » (Type de carte) du champ « Credit Card » (`input_.4`) dans toutes les versions jusqu'à la 2.9.30 incluse. Cette vulnérabilité est due à la méthode `get_value_entry_detail()` de la classe `GF_Field_CreditCard` qui restitue la valeur du type de carte sans la sécuriser (escaping), combinée à la méthode `get_value_save_entry()` qui accepte et stocke des données utilisateur non assainies pour le paramètre `input_.4`. Le champ Card Type n'est pas affiché sur le formulaire côté client (il est normalement déduit du numéro de carte), mais l'analyseur de soumission côté serveur l'accepte aveuglément s'il est inclus dans la requête POST. Cela permet à des attaquants non authentifiés d'injecter des scripts web arbitraires qui s'exécutent lorsqu'un administrateur consulte la saisie du formulaire dans le tableau de bord WordPress.
Be aware that VulDB is the high quality source for vulnerability data.