Gravity Forms <= 2.9.28.1 - प्रमाणित (सदस्य+) फॉर्म शीर्षक के माध्यम से संग्रहीत क्रॉस-साइट स्क्रिप्टिंग

यह XSS भेद्यता हमलावरों को किसी भी प्रमाणित उपयोगकर्ता के रूप में दुर्भावनापूर्ण स्क्रिप्ट इंजेक्ट करने की अनुमति देती है, खासकर फॉर्म स्विचर्स में। हमलावर फॉर्म शीर्षक में स्क्रिप्ट इंजेक्ट कर सकते हैं, जो तब अन्य उपयोगकर्ताओं द्वारा देखे जाने पर निष्पादित हो सकती है। इससे उपयोगकर्ता के ब्राउज़र में दुर्भावनापूर्ण कोड चल सकता है, जिससे कुकीज़ चोरी हो सकती हैं, सत्र हाईजैक हो सकते हैं, या उपयोगकर्ता को दुर्भावनापूर्ण वेबसाइटों पर रीडायरेक्ट किया जा सकता है। चूंकि यह भेद्यता संग्रहीत है, इसलिए हमलावर स्क्रिप्ट को फॉर्म में इंजेक्ट कर सकते हैं, और यह तब भी सक्रिय रहेगा जब तक कि फॉर्म को ठीक से सैनिटाइज नहीं किया जाता।

1. आरक्षित2026-03-03
2. प्रकाशित2026-03-11
3. संशोधित2026-04-08
4. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने के लिए, Gravity Forms प्लगइन को तुरंत संस्करण 2.9.29 में अपग्रेड करें। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके createfromtemplate एंडपॉइंट पर इनपुट को सैनिटाइज करने का प्रयास करें। सुनिश्चित करें कि सभी फॉर्म शीर्षक और अन्य उपयोगकर्ता-प्रदत्त इनपुट को आउटपुट से पहले ठीक से एस्केप किया गया है। WordPress के नवीनतम संस्करण में अपग्रेड करने पर विचार करें, क्योंकि इसमें सुरक्षा सुधार शामिल हो सकते हैं। अपग्रेड के बाद, यह सुनिश्चित करने के लिए कि भेद्यता ठीक हो गई है, फॉर्म स्विचर्स में स्क्रिप्ट इंजेक्शन का प्रयास करके सत्यापित करें।