CVE-2026-4394 in Gravity Forms Plugin
Riassunto
di VulDB • 18/06/2026
Il plugin Gravity Forms per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il sotto-campo 'Card Type' (input_.4) del campo Carta di Credito in tutte le versioni fino alla 2.9.30 inclusa. La vulnerabilità è dovuta al fatto che il metodo `get_value_entry_detail()` nella classe `GF_Field_CreditCard` restituisce il valore del tipo di carta senza effettuare l'escaping, combinato con il fatto che `get_value_save_entry()` accetta e memorizza input non sanificato dell'utente per il parametro `input_.4`. Il campo Card Type non viene renderizzato nel form lato frontend (viene normalmente derivato dal numero della carta), ma il parser delle submission lato backend lo accetta accecamente se incluso nella richiesta POST. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari che vengono eseguiti quando un amministratore visualizza la voce del form nella dashboard di WordPress.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.