CVE-2026-90437

Nome do Software Vulnerável e Versões Afetadas Gravity Forms versões anteriores a 3.1.2

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso ocorre porque os campos Post Excerpt, Post Custom Field e Paragraph Text habilitados para Rich-Text-Editor permitem submissões de HTML bruto através da função allow html(). Um payload codificado em entidade armazenado em um atributo data-dialog-confirm pode burlar o wp kses post() durante o processo de salvamento e é subsequentemente decodificado em marcação executável pelo navegador quando o JavaScript do administrador utiliza a função insertAdjacentHTML(). Isso permite a execução de scripts web arbitrários quando um usuário acessa uma página afetada.

Recomendações Atualize para uma versão posterior à 3.1.1.