PT-2026-36575 · WordPress · Gravity Forms

Tadokun · Publicado 2026-05-02 · Atualizado 2026-05-02 · CVE-2026-5111

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Gravity Forms versões anteriores a 2.10.1

Descrição Ocorre Cross-Site Scripting Armazenado devido à validação de entrada e escape de saída insuficientes nos valores do campo Hidden Product quando usado dentro de campos Repeater. Especificamente, os subcampos do repeater ignoram as verificações de validação de estado, e o método validate() do Hidden Product valida apenas o campo de quantidade, ignorando o campo de nome do produto. Este nome do produto é posteriormente exibido sem o escape adequado no método get value entry detail(), permitindo que atacantes não autenticados injetem scripts web arbitrários por meio de envios de formulários que são executados quando um administrador visualiza os detalhes da entrada.

Recomendações Atualize para uma versão posterior a 2.10.0.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-5111

Produtos afetados

Gravity Forms

Referências · 9

• https://twitter.com/CVEnew/status/2050488247730802825 · Publicação no Twitter
• https://twitter.com/KaitanSecurity/status/2050462829421977888 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2050494503832764466 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2050489529627214092 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/a50e7042-bf7b-49d8-8e62-d01ecdd769fd?source=cve · Nota
• https://t.me/cveNotify/161847 · Publicação no Telegram
• https://t.me/CVEtracker/52497 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-5111 · Nota de Segurança
• https://docs.gravityforms.com/gravityforms-change-log · Nota