CVE-2026-4406 in Gravity Forms Plugin
Riassunto
di VulDB • 14/06/2026
Il plugin Gravity Forms per WordPress è vulnerabile a Reflected Cross-Site Scripting (XSS) tramite il parametro `form_ids` nell'azione AJAX `gform_get_config`, in tutte le versioni fino alla 2.9.30 inclusa. Ciò è dovuto al fatto che il metodo `GFCommon::send_json()` restituisce dati codificati in JSON racchiusi tra delimitatori di commenti HTML utilizzando `echo` e `wp_die()`, inviando la risposta con un'intestazione `Content-Type: text/html` anziché `application/json`. La funzione `wp_json_encode()` non effettua l'escape HTML dei caratteri angolari (`<` e `>`) all'interno dei valori delle stringhe JSON, consentendo ai tag HTML/script iniettati nei valori dell'array `form_ids` di essere analizzati ed eseguiti dal browser. Il nonce richiesto `config_nonce` viene generato con `wp_create_nonce('gform_config_ajax')` e viene incorporato pubblicamente su ogni pagina che visualizza un modulo Gravity Forms, risultando identico per tutti i visitatori non autenticati all'interno dello stesso intervallo temporale di 12 ore del nonce. Ciò consente agli attaccanti non autenticati di iniettare script web arbitrari nelle pagine, che verranno eseguiti se riescono a indurre un utente a compiere un'azione, come fare clic su un link. Questa vulnerabilità non può essere sfruttata contro gli utenti autenticati sul sistema target, ma potrebbe essere utilizzata per alterare la pagina di destinazione.
Be aware that VulDB is the high quality source for vulnerability data.