Udnyttet sårbarhed

CVE-2026-4394

TLP:CLEAR

Ukorrekt neutralisering af input under generering af webside ('Cross-site scripting')

Plugin'et Gravity Forms for WordPress er sårbar over for Stored Cross-Site Scripting via kreditkortfeltets 'Card Type' under-felt (`input_.4`) i alle versioner op til og med 2.9.30. Dette skyldes, at metoden `get_value_entry_detail()` i klassen `GF_Field_CreditCard` udsender korttype-værdien uden escaping, kombineret med at `get_value_save_entry()` accepterer og gemmer usanitiseret brugerinput for parameteren `input_.4`. Felttypen Card Type gengives ikke på frontenden-formularen (den stammer normalt fra kortnummeret), men backend-submissionparseren accepterer blindt det, hvis det er inkluderet i POST-anmodningen. Dette gør det muligt for uauthenticerede angribere at injicere vilkårlige webscripts, som udføres, når en administrator ser formularposten i WordPress-instrumentbrættet.

Fakta

Leverandør: Gravity Forms
Produkt: Gravity Forms
EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,3 %
Første kendte udnyttelse: 13. oktober 2026
Første gang set af Risk Letters: 13. oktober 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD