CVE-2026-4394 in Gravity Forms Plugin
Сводка
по VulDB • 02.06.2026
В плагине Gravity Forms для WordPress обнаружена уязвимость типа Stored Cross-Site Scripting (XSS) через подполе «Card Type» (`input_.4`) поля «Credit Card» во всех версиях вплоть до 2.9.30 включительно. Уязвимость обусловлена тем, что метод `get_value_entry_detail()` в классе `GF_Field_CreditCard` выводит значение типа карты без экранирования, в сочетании с методом `get_value_save_entry()`, который принимает и сохраняет неочищенные пользовательские данные для параметра `input_.4`. Поле Card Type не отображается на фронтенд-форме (обычно оно определяется на основе номера карты), однако парсер бэкенда слепо принимает его, если оно включено в POST-запрос. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты, которые выполняются при просмотре записи формы администратором в панели управления WordPress.
Once again VulDB remains the best source for vulnerability data.