CVE-2026-16649
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Gravity Forms dla WordPressa jest podatna na przechowywany atak XSS przez wartość pola treści wpisu we wszystkich wersjach do 2.10.5 włącznie, z powodu niewystarczającej sanityzacji wejścia i ucieczki wyjścia. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony. Exploit przetrwa sanityzację przy zapisie, ponieważ wp_kses_post pozwala na wymagane tagi i atrybuty HTML, a skrypt tooltip po stronie klienta ponownie analizuje wartość aria-label zdekodowaną przez przeglądarkę jako innerHTML, usuwając tylko elementy script, pozostawiając atrybuty onerror i inne procedury obsługi zdarzeń w pełni nienaruszone i wykonywalne.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji z poprawką oraz wdrożenie odpowiedniej sanityzacji i ucieczki wyjścia dla danych wejściowych formularzy.
Inne podatności w Gravity Forms
Zobacz wszystkie- CVE-2026-84434Krytyczne
Wtyczka Gravity Forms dla WordPressa (wersje do 3.1.0.4 włącznie) pozwala na dowolne przesyłanie plików przez funkcję upload_file. Rozbieżność między walidacją a zapisem plików pozwala ukrytym polom przesyłania ominąć walidację rozszerzeń. Nieuwierzytelniony atakujący może przesłać pliki wykonywalne, co umożliwia zdalne wykonanie kodu.
- CVE-2026-48866Krytyczne
Podatność na Path Traversal w Gravity Forms od Rocketgenius Inc. pozwala na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 2.10.0.1 włącznie.
- CVE-2026-19513Wysokie
Podatność na dowolne przesyłanie plików w pluginie Gravity Forms dla WordPressa (wersje do 3.0.2 włącznie). Niewystarczająca walidacja stanu fragmentów przesyłania wieloplikowego w funkcji GFAsyncUpload::upload() pozwala nieuwierzytelnionym atakującym, gdy formularz publiczny zawiera pole przesyłania plików z włączoną opcją wielu plików, na przesłanie pliku polyglot PNG/PDF pod wybraną przez atakującego publiczną nazwę .php lub .html w katalogu tymczasowym Gravity Forms. Może to prowadzić do zdalnego wykonania kodu na serwerach NGINX lub innych nie respektujących .htaccess. W przypadku zablokowania wykonywania PHP, atakujący może wykorzystać HTML do przechowywanego XSS.
- CVE-2026-12997Wysokie
Wtyczka Gravity Forms dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 2.10.4 włącznie poprzez parametr 'gform_uploaded_files'. Niezalogowani atakujący mogą odczytać dowolne pliki na serwerze, co może ujawnić wrażliwe informacje.
- CVE-2026-4406Średnie
Wtyczka Gravity Forms dla WordPress w wersjach do 2.9.30 włącznie jest podatna na Reflected XSS przez parametr `form_ids` w akcji AJAX `gform_get_config`. Wynika to z metody `GFCommon::send_json()`, która wypisuje dane JSON w komentarzach HTML z nagłówkiem `Content-Type: text/html` zamiast `application/json`. Funkcja `wp_json_encode()` nie koduje znaków < i > w wartościach JSON, co pozwala na wstrzyknięcie znaczników HTML/script. Nonce `config_nonce` jest generowany z `wp_create_nonce('gform_config_ajax')` i jest publicznie osadzony na każdej stronie z formularzem Gravity Forms, co czyni go identycznym dla wszystkich nieuwierzytelnionych odwiedzających w ciągu 12-godzinnego ticka nonce. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Podatność nie działa przeciwko uwierzytelnionym użytkownikom.
- CVE-2026-4394Średnie
Wtyczka Gravity Forms dla WordPress do wersji 2.9.30 włącznie ma podatność na Stored XSS w polu karty kredytowej (podpole 'Card Type'). Metoda get_value_entry_detail() wyświetla wartość bez eskejpowania, a get_value_save_entry() akceptuje niesanitowane dane wejściowe. Pole Card Type nie jest renderowane na froncie, ale backend akceptuje je z żądania POST. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonują się podczas przeglądania wpisu w panelu administratora.
Oryginalny opis (angielski, źródło NVD)
The Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Post Body Field Value in all versions up to, and including, 2.10.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit survives save-time sanitization because wp_kses_post allows the required HTML tags and attributes, and the client-side tooltip script re-parses the browser-decoded aria-label value as innerHTML while only stripping script elements, leaving onerror and other event-handler attributes fully intact and executable.