Title: plugin para WordPress Gravity Forms, Description: El plugin Gravity Forms para WordPress es vulnerable a cross-site scripting reflejado a través del parámetro 'form_ids' en la acción AJAX 'gform_get_config' en todas las versiones hasta la 2.9.30, inclusive. Esto se debe a que el método 'GFCommon::send_json()' genera datos codificados en JSON envueltos en delimitadores de comentarios HTML utilizando 'echo' y 'wp_die()', lo que sirve la respuesta con una cabecera 'Content-Type: text/html' en lugar de 'application/json'. La función 'wp_json_encode()' no codifica en HTML los corchetes angulares dentro de los valores de cadena JSON, permitiendo que las etiquetas HTML/script inyectadas en los valores del array 'form_ids' sean analizadas y ejecutadas por el navegador. El 'config_nonce' requerido se genera con 'wp_create_nonce( gform_config_ajax )' y está incrustado públicamente en cada página que renderiza un formulario de Gravity Forms, haciéndolo idéntico para todos los visitantes no autenticados dentro del mismo ciclo de nonce de 12 horas. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutan si logran engañar a un usuario para que realice una acción como hacer clic en un enlace. Esta vulnerabilidad no puede ser explotada contra usuarios que están autenticados en el sistema objetivo, pero podría usarse para alterar la página objetivo.

{"timestamp":"2026-04-08T15:15:11.294642Z","id":"CVE-2026-4406","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"role":"CISA Coordinator","version":"2.0.3"}

[{"vendor":"Gravity Forms","product":"Gravity Forms","defaultStatus":"unaffected","versions":[{"version":"0","lessThanOrEqual":"2.9.30","versionType":"semver","status":"affected"}]}]

The Gravity Forms plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the `form_ids` parameter in the `gform_get_config` AJAX action in all versions up to, and including, 2.9.30. This is due to the `GFCommon::send_json()` method outputting JSON-encoded data wrapped in HTML comment delimiters using `echo` and `wp_die()`, which serves the response with a `Content-Type: text/html` header instead of `application/json`. The `wp_json_encode()` function does not HTML-encode angle brackets within JSON string values, allowing injected HTML/script tags in `form_ids` array values to be parsed and executed by the browser. The required `config_nonce` is generated with `wp_create_nonce('gform_config_ajax')` and is publicly embedded on every page that renders a Gravity Forms form, making it identical for all unauthenticated visitors within the same 12-hour nonce tick. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. This vulnerability cannot be exploited against users who are authenticated on the target system, but could be used to alter the target page.

AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

CWE-79

https://docs.gravityforms.com/gravityforms-change-log/

https://plugins.trac.wordpress.org/browser/gravityforms/trunk/common.php#L8267

https://plugins.trac.wordpress.org/browser/gravityforms/trunk/includes/config/class-gf-config-collection.php#L56

https://plugins.trac.wordpress.org/browser/gravityforms/trunk/includes/config/class-gf-config-service-provider.php#L144

https://plugins.trac.wordpress.org/browser/gravityforms/trunk/includes/config/items/class-gf-config-global.php#L22

https://www.wordfence.com/threat-intel/vulnerabilities/id/4126d452-65a9-48f5-a3f5-5be1b8fff80c?source=cve