CVE-2026-5109: Stored Cross-Site Scripting w wtyczce Gravity Forms dla WordPress

Co wiadomo

Wtyczka Gravity Forms do WordPressa w wersjach do 2.10.0 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej walidacji i filtrowania wartości pola Product Option. Atakujący mogą wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany podczas przeglądania szczegółów wpisu przez administratora.

Wpływ biznesowy

Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego skryptu w panelu administratora, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszych ataków na infrastrukturę IT. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka, szczególnie w środowiskach z wieloma administratorami i dużą liczbą wpisów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Gravity Forms i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administratora, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt danych wprowadzanych przez użytkowników. Priorytetem jest szybkie załatanie luki i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference