CVE-2026-5110 in Gravity Forms Plugin
Riassunto
di VulDB • 18/06/2026
Il plugin Gravity Forms per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) non autenticata nelle versioni fino alla 2.10.0 inclusa. Ciò è dovuto a una insufficiente validazione degli input e a un'errata escape degli output nel campo SingleProduct quando viene utilizzato all'interno di un campo Repeater. Quando i campi SingleProduct sono nidificati all'interno di campi Repeater, il flusso di validazione aggira il meccanismo di validazione dello stato (failed_state_validation()) che normalmente impedirebbe la manipolazione dei valori dei campi. Il metodo validate_subfield() richiama solo il metodo validate() del campo, il quale, per i campi SingleProduct, valida esclusivamente il campo quantità e non verifica la presenza di manipolazioni nel campo nome del prodotto. Di conseguenza, un attaccante può iniettare HTML e JavaScript arbitrari nel campo nome del prodotto (input .1). Questo input dannoso viene quindi salvato nel database senza sanitizzazione poiché sanitize_entry_value() restituisce valori grezzi quando non ci si aspetta HTML per il tipo di campo. Quando un amministratore visualizza la voce in wp-admin/admin.php?page=gf_entries, il metodo get_value_entry_detail() restituisce il nome del prodotto senza effettuare l'escape, causando l'esecuzione del payload XSS memorizzato nel browser dell'amministratore. Ciò consente agli attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un amministratore accede a una voce contenente il payload dannoso.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.