CVE-2026-5111
El plugin Gravity Forms para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) en versiones hasta y inclusive 2.10.0. Esto se debe a una validación de entrada insuficiente y a la falta de escapado de salida en los valores del campo Producto Oculto cuando se utilizan dentro de campos Repeater, donde los subcampos del repeater bypass las comprobaciones de estado y el método validate() del Producto Oculto solo valida el campo cantidad mientras ignora el campo nombre del producto que luego se imprime sin escapado adecuado en el método get_value_entry_detail(). Esto permite a atacantes no autenticados inyectar scripts web arbitrarios a través de envíos de formularios que se ejecutarán cada vez que un administrador ve los detalles de la entrada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org