CVE-2026-4406

WordPress için Gravity Forms eklentisi, 2.9.30 dahil tüm önceki sürümlerde, `gform_get_config` AJAX eylemindeki `form_ids` parametresi üzerinden Yansıtılmış Siteler Arası Betik Çalıştırma (Reflected XSS) zafiyetine sahiptir. Bu durum, `GFCommon::send_json()` metodunun, JSON ile kodlanmış verileri `echo` ve `wp_die()` kullanarak HTML yorum belirteçleri içine sarılı şekilde çıktılamasından ve yanıtı `application/json` yerine `Content-Type: text/html` başlığıyla sunmasından kaynaklanmaktadır. `wp_json_encode()` fonksiyonu, JSON dize değerleri içindeki büyüktür/küçüktür işaretlerini HTML olarak kodlamadığından, `form_ids` dizi değerlerine enjekte edilen HTML/betik etiketlerinin tarayıcı tarafından ayrıştırılmasına ve çalıştırılmasına izin vermektedir. Gerekli olan `config_nonce`, `wp_create_nonce('gform_config_ajax')` ile oluşturulur ve Gravity Forms formu oluşturan her sayfaya herkese açık olarak gömülür; bu da aynı 12 saatlik nonce zaman dilimi içindeki tüm kimliği doğrulanmamış ziyaretçiler için nonce değerinin aynı olmasına neden olur. Bu durum, kimliği doğrulanmamış saldırganların, bir kullanıcıyı bir bağlantıya tıklamak gibi bir işlemi gerçekleştirmeye ikna edebilmeleri halinde, sayfalarda rastgele web betikleri enjekte etmelerini mümkün kılar. Bu zafiyet hedef sistemde kimliği doğrulanmış kullanıcılara karşı kullanılamaz ancak hedef sayfayı değiştirmek için kullanılabilir.