Вразливість Stored XSS у плагіні Gravity Forms для WordPress (CVE-2026-5111)

Що відомо

Плагін Gravity Forms для WordPress версій до 2.10.0 включно має вразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню перевірку та екранування даних у прихованих полях продукту в повторюваних полях. Це дозволяє неавторизованим зловмисникам впроваджувати шкідливі скрипти, які виконуються при перегляді деталей форми адміністратором.

Бізнес-вплив

Вразливість може призвести до виконання довільних скриптів у контексті облікового запису адміністратора, що ставить під загрозу безпеку сайту, конфіденційність даних та цілісність системи. Це може спричинити компрометацію адміністративного доступу, викрадення сесій або інші атаки, що впливають на роботу вебресурсу.

Рекомендовані дії адміністратора

Адміністраторам рекомендується негайно перевірити наявність оновлень плагіна Gravity Forms та застосувати офіційні патчі від розробника. Якщо оновлення недоступні, слід обмежити використання повторюваних полів з прихованими продуктами, провести аудит журналів на предмет підозрілої активності та мінімізувати доступ до форм для незареєстрованих користувачів. Важливо також впровадити додаткові заходи валідації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference