→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-90437 · gravityforms

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Gravity Forms

افزونه Gravity Forms در نسخه‌های ۳.۱.۱ و پیش از آن، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) از طریق مقادیر فیلدهای خلاصه نوشته، فیلد سفارشی نوشته و پاراگراف با ویرایشگر متن غنی آسیب‌پذیر است. مهاجم احراز هویت‌نشده می‌تواند اسکریپت دلخواه را در صفحه ذخیره کند تا هنگام بازدید کاربر، از جمله مدیر سایت، در مرورگر اجرا شود و به سرقت نشست، تغییر محتوا یا اقدامات مخرب در زمینه کاربر منجر شود. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه‌ای جدیدتر از ۳.۱.۱ به‌روزرسانی کنید.