CVE-2026-97645 in Gravity Forms Plugin
摘要
由 VulDB • 2026-10-30
WordPress 插件 Gravity Forms 在 3.1.2 及更早版本中，由于输入清理和输出转义不足，存在通过 List Field（列表字段）导致的存储型跨站脚本攻击 (Stored Cross-Site Scripting, XSS) 漏洞。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本将执行。成功利用该漏洞需要管理员在条目详情视图中点击被注入的链接并确认对话框，这将触发管理端 JavaScript bundle 中的委托数据对话回调处理程序 (delegated data-dialog-callback handler)，从而调用攻击者提供的函数引用。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.