→ برگشت به فید آسیب‌پذیری‌ها CVE-2026-97645 · gravityforms

تزریق اسکریپت ذخیره‌شده (Stored XSS) در افزونه Gravity Forms

افزونه Gravity Forms در نسخه‌های ۳.۱.۲ و پیش از آن، به‌دلیل پاک‌سازی ناکافی ورودی و گریز ناکافی خروجی در فیلد List، در برابر تزریق اسکریپت ذخیره‌شده (Stored XSS) آسیب‌پذیر است. مهاجم احرازهویت‌نشده می‌تواند اسکریپت دلخواه را در صفحه ذخیره کند تا هنگام مشاهده اجرا شود؛ بهره‌برداری موفق نیازمند آن است که مدیر در نمای جزئیات ورودی روی پیوند تزریق‌شده کلیک کرده و یک گفتگو را تأیید کند، که می‌تواند به اجرای اسکریپت در زمینه کاربر مدیر منجر شود. چون وصله امنیتی منتشر شده است، افزونه را فوراً به نسخه‌ای جدیدتر از ۳.۱.۲ به‌روزرسانی کنید.