Analityczne wykorzystywanie plików cookies
CVE-2026-5110: Niezautoryzowane przechowywane XSS w wtyczce Gravity Forms dla WordPress
Podatność CVE-2026-5110 w Gravity Forms umożliwia ataki XSS w panelu admina WordPress. Sprawdź zalecenia bezpieczeństwa i aktualizuj wtyczkę.
- CVSS
- 7.2 HIGH
- EPSS
- 16.09%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Gravity Forms do WordPressa w wersjach do 2.10.0 włącznie jest podatna na niezautoryzowane przechowywane ataki Cross-Site Scripting (XSS) w polu SingleProduct wewnątrz pola Repeater. Atakujący może wstrzyknąć złośliwy kod HTML/JavaScript, który zostanie wykonany w przeglądarce administratora podczas przeglądania wpisu.
Wpływ biznesowy
Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu w panelu administracyjnym WordPressa, co może prowadzić do przejęcia sesji administratora, eskalacji uprawnień lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Operatorzy powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza w środowiskach z wieloma administratorami.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Gravity Forms i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych. Priorytetyzuj działania naprawcze zgodnie z ryzykiem ekspozycji.