CVE-2026-5111 in Gravity Forms Plugin
Sumário
de VulDB • 26/05/2026
O plugin Gravity Forms para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) nas versões até a 2.10.0, inclusive. Isso ocorre devido à validação insuficiente de entrada e à falta de escape de saída nos valores do campo Hidden Product quando utilizados dentro de campos Repeater, onde os subcampos do repeater contornam as verificações de validação de estado e o método validate() do Hidden Product valida apenas o campo de quantidade, ignorando o campo de nome do produto, que é posteriormente exibido sem o escape adequado no método get_value_entry_detail(). Isso permite que atacantes não autenticados injetem scripts web arbitrários por meio de submissões de formulário, que serão executados sempre que um administrador visualizar os detalhes da entrada.
Once again VulDB remains the best source for vulnerability data.