CVE-2026-5109
WysokieStreszczenie
Wtyczka Gravity Forms dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting w wersjach do 2.10.0 włącznie. Problem wynika z niewystarczającej walidacji i ucieczki wartości pól opcji produktu, co pozwala na przechowywanie nieoszlifowanych danych w bazie.
Ocena ryzyka
Atakujący bez uwierzytelnienia mogą wstrzykiwać dowolne skrypty webowe w dane wejściowe, które będą wykonywane, gdy administratorzy przeglądają szczegóły wpisów. To stwarza poważne zagrożenie dla bezpieczeństwa danych w organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki Gravity Forms do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt danych w bazie w celu wykrycia potencjalnych wstrzyknięć skryptów.
Inne podatności w Gravity Forms plugin for WordPress
Zobacz wszystkie- CVE-2026-5113Wysokie
Wtyczka Gravity Forms dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting (XSS) poprzez ukryte pola zgody w wersjach do 2.10.0. Problem wynika z wadliwego mechanizmu walidacji stanu, który nieprawidłowo sanitizuje dane wejściowe.
- CVE-2026-5112Wysokie
Wtyczka Gravity Forms dla WordPressa jest podatna na nieautoryzowane przechowywane ataki Cross-Site Scripting w wersjach do 2.10.0. Problem wynika z niewystarczającej walidacji danych wejściowych i ucieczki danych wyjściowych w polach nazw produktów w formularzach powtarzalnych.
- CVE-2026-5111Wysokie
Wtyczka Gravity Forms dla WordPressa jest podatna na przechowywane ataki Cross-Site Scripting w wersjach do 2.10.0 włącznie. Problem wynika z niewystarczającej walidacji danych wejściowych i ucieczki danych wyjściowych w polach ukrytych, co pozwala na wstrzykiwanie skryptów przez nieautoryzowanych atakujących.
- CVE-2026-5110Wysokie
Wtyczka Gravity Forms dla WordPressa jest podatna na nieautoryzowane przechowywane ataki Cross-Site Scripting w wersjach do 2.10.0. Problem wynika z niewystarczającej walidacji danych wejściowych i ucieczki danych wyjściowych w polu SingleProduct używanym w polu Repeater.
Oryginalny opis (angielski, źródło NVD)
The Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to and including 2.10.0. This is due to insufficient validation and output escaping of Product Option field values. The vulnerability exists because the state validation function accepts submitted values where the wp_kses()-sanitized version matches a legitimate option value, but then stores the raw unsanitized value in the database. When administrators view entry details via the Order Summary section, the option_label is output directly without escaping (view-order-summary.php line 32), executing the injected JavaScript. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in entry data that will execute whenever an administrator accesses the entry details page.