The Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting in versions up to and including 2.10.0. This is due to insufficient validation and output escaping of Product Option field values. The vulnerability exists because the state validation function accepts submitted values where the wp_kses()-sanitized version matches a legitimate option value, but then stores the raw unsanitized value in the database. When administrators view entry details via the Order Summary section, the option_label is output directly without escaping (view-order-summary.php line 32), executing the injected JavaScript. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in entry data that will execute whenever an administrator accesses the entry details page.
Gravity Forms plugin for WordPress contains a Stored XSS vulnerability in Product Option fields that allows unauthenticated attackers to inject malicious scripts. When administrators view entry details, the unescaped option labels execute arbitrary JavaScript in their browsers.
تحتوي إضافة Gravity Forms على ثغرة في التحقق من صحة حقول خيارات المنتجات حيث يتم قبول القيم المعالجة بـ wp_kses() ولكن يتم تخزين القيم الخام غير المعالجة في قاعدة البيانات. عند عرض تفاصيل الإدخالات في قسم ملخص الطلب، يتم إخراج تسميات الخيارات مباشرة دون هروب، مما يؤدي إلى تنفيذ JavaScript المحقون. يمكن للمهاجمين غير المصرح لهم استغلال هذه الثغرة لتنفيذ برامج نصية تعسفية في متصفحات المسؤولين.
ثغرة Stored XSS في إضافة Gravity Forms لـ WordPress تسمح للمهاجمين بحقن برامج نصية ضارة في حقول خيارات المنتجات. عند عرض تفاصيل الإدخالات، يتم تنفيذ JavaScript التعسفي في متصفحات المسؤولين.
Update Gravity Forms plugin to version 2.10.1 or later immediately. Implement proper output escaping for all user-supplied data in entry details pages. Review and sanitize all stored option values. Enable WordPress security headers and implement Content Security Policy to mitigate XSS attacks.
قم بتحديث إضافة Gravity Forms إلى الإصدار 2.10.1 أو أحدث فوراً. طبق الهروب الصحيح للمخرجات لجميع البيانات المدخلة من المستخدمين في صفحات تفاصيل الإدخالات. راجع وقم بتطهير جميع قيم الخيارات المخزنة. فعّل رؤوس أمان WordPress وطبق سياسة أمان المحتوى للتخفيف من هجمات XSS.