Zaloguj się
Deutsch English Español Polski
Średnia

Gravityforms <= 1.9.6 - Cross-Site Scripting

  • Ujawniono: 20.04.2015
  • Aktualizacja: 11.10.2026 10:23

The Gravityforms plugin for WordPress is vulnerable to Cross-Site Scripting in versions up to, and including, 1.9.6 due to insufficient input sanitization and output escaping alongside the use of add_query_arg or remove_query_arg(). This makes it possible for attackers to inject arbitrary web scripts that execute in a victim's browser.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Wtyczka WordPress Gravity Forms <= 1.9.6 1.9.7

Odnośniki

Ocena CVSS 5.4/10
Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N
Słabość (CWE)
CWE-79
Platforma
WordPress
Paczka
Gravity Forms
Ujawniono
20.04.2015
Aktualizacja
11.10.2026 10:23

Źródła i licencje

Wordfence Intelligence - f2448450-9d0e-42bc-bfdb-66861b2f212c - Wordfence Intelligence

Copyright 2012-2026 Defiant Inc.

This record contains material that is subject to copyright

Copyright 2012-2026 Defiant Inc.

Defiant hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute this software vulnerability information. Any copy of the software vulnerability information you make for such purposes is authorized provided that you include a hyperlink to this vulnerability record and reproduce Defiant's copyright designation and this license in any such copy.

https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/
Wordfence Intelligence
Wordfence Intelligence - Defiant, Inc.
Copyright Defiant, Inc. All rights reserved except as granted below.
License grant, section 3.1 of the Wordfence Intelligence Terms and Conditions (January 26, 2026):

Subject to this Agreement, Company hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute the Service. Any copy you make for such purposes is authorized provided that you reproduce Company’s copyright designation, this license, and the license of any disclosed Company licensor in any such copy.

Full applicable Agreement: https://www.wordfence.com/wordfence-intelligence-terms-and-conditions/

Historia podatności: Gravity Forms

Wszystkie opisane podatności tej paczki (Wtyczka WordPress), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (26) w archiwum
Wszystkich wpisów
26
Pierwsza → ostatnia
02.2015 09.2026
Bez poprawki
0
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 7
  • Wysoka 11
  • Średnia 8

Ujawnienia w latach

wcześniej: 5

Istotność:
  1. Gravity Forms <= 3.1.0.4 - Unauthenticated Arbitrary File Upload via Hidden File Upload Field
    Krytyczna · 9.8 CVE-2026-84434 <= 3.1.0.4 3.1.1
  2. Gravity Forms <= 2.10.5 - Unauthenticated Stored Cross-Site Scripting via Post Body Field Value
    Wysoka · 7.2 CVE-2026-16649 <= 2.10.5 3.0.0
  3. Gravity Forms <= 3.0.2 - Unauthenticated Arbitrary File Upload via State/Chunk Hash Confusion
    Wysoka · 8.1 CVE-2026-19513 <= 3.0.2 3.0.3
  4. Gravity Forms <= 2.10.4 - Unauthenticated Arbitrary File Read via 'gform_uploaded_files' Parameter
    Wysoka · 7.5 CVE-2026-12997 <= 2.10.4 2.10.5
  5. Gravity Forms <= 2.10.0.1 - Unauthenticated Arbitrary File Deletion
    Krytyczna · 9.1 CVE-2026-48866 <= 2.10.0.1 2.10.1
  6. Gravity Forms <= 2.10.0 - Unauthenticated Stored Cross-Site Scripting via Single Product Field Inside Repeater
    Wysoka · 7.2 CVE-2026-5110 <= 2.10.0 2.10.1
  7. Gravity Forms <= 2.10.0 - Unauthenticated Stored Cross-Site Scripting via Hidden Product Field in Repeater
    Wysoka · 7.2 CVE-2026-5111 <= 2.10.0 2.10.1
  8. Gravity Forms <= 2.10.0 - Unauthenticated Stored Cross-Site Scripting via Product Option
    Wysoka · 7.2 CVE-2026-5109 <= 2.10.0 2.10.1
  9. Gravity Forms <= 2.10.0 - Unauthenticated Stored Cross-Site Scripting via Calculation Product Field in Repeater
    Wysoka · 7.2 CVE-2026-5112 <= 2.10.0 2.10.1
  10. Gravity Forms <= 2.9.30 - Unauthenticated Stored Cross-Site Scripting via Consent Field Hidden Input
    Wysoka · 7.2 CVE-2026-5113 <= 2.9.30 2.9.31
  11. Gravity Forms <= 2.9.23.0 - Unauthenticated Arbitrary File Upload
    Krytyczna · 9.8 CVE-2025-13407 <= 2.9.23.0 2.9.23.1
  12. Gravity Forms <= 2.9.21.1 - Unauthenticated Arbitrary File Upload via Legacy Chunked Upload
    Wysoka · 8.1 CVE-2025-12974 <= 2.9.21.1 2.9.22
  13. Gravity Forms <= 2.9.20 - Unauthenticated Arbitrary File Upload via 'copy_post_image'
    Krytyczna · 9.8 CVE-2025-12352 <= 2.9.20 2.9.21
  14. GravityForms <= 2.9.1.3 - Unauthenticated Stored Cross-Site Scripting via 'alt' parameter
    Wysoka · 7.2 CVE-2024-13377 <= 2.9.1.3 2.9.2
  15. Gravity Forms <= 2.7.3 - Unauthenticated PHP Object Injection
    Krytyczna · 9.8 CVE-2023-28782 <= 2.7.3 2.7.4
  16. Gravityforms <= 2.4.8 - Information Exposure
    Wysoka · 7.5 CVE-2020-13764 <= 2.4.8 2.4.9
  17. Gravityforms <= 1.9.6 - Cross-Site Scripting ten wpis
    Średnia · 5.4 f2448450-9d0e-42bc-bfdb-66861b2f212c <= 1.9.6 1.9.7
  18. Gravityforms <= 1.9.3.5 - SQL Injection
    Krytyczna · 9.1 CVE-2015-2260 <= 1.9.3.5 1.9.3.6
  19. Gravityforms <= 1.8.19 - Arbitrary File Upload
    Krytyczna · 9.8 a6bf60cc-4a07-4d5d-bff3-20d0115a5bd3 < 1.8.20 1.8.20

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.