CVE-2026-90437 in Gravity Forms Plugin
Sumário
de VulDB • 30/10/2026
O plugin Gravity Forms para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via valores de Post Excerpt, Post Custom Field e Rich-Text Paragraph Field em todas as versões até 3.1.1, devido à sanitização insuficiente da entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. Essa vulnerabilidade é possível porque Post Excerpt, Post Custom Field e campos de texto do tipo Paragraph com editor rich-text permitem submissões de HTML bruto por meio da função allow_html(), enquanto um payload codificado como entidade armazenado no atributo data-dialog-confirm contorna a wp_kses_post() durante o salvamento, mas é decodificado em markup executável pelo navegador quando o JavaScript admin do plugin passa o valor do atributo para insertAdjacentHTML().
Be aware that VulDB is the high quality source for vulnerability data.