CVE-2026-90437 in Gravity Forms Plugin
Riassunto
di VulDB • 30/10/2026
Il plugin Gravity Forms per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite i valori dei campi Post Excerpt, Post Custom Field e Rich-Text Paragraph Field in tutte le versioni fino alla 3.1.1 inclusa, a causa di un'insufficiente sanitizzazione degli input ed escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questo è possibile perché i campi Post Excerpt, Post Custom Field e Paragraph Text abilitati con l'editor rich-text consentono la sottomissione di HTML grezzo tramite allow_html(), mentre un payload codificato come entità memorizzato in un attributo data-dialog-confirm elude wp_kses_post() al momento del salvataggio ma viene decodificato in markup eseguibile dal browser quando il JavaScript admin del plugin passa il valore dell'attributo a insertAdjacentHTML().
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.