Gravity Forms <= 2.9.28.1 - 認証済み (Subscriber+) フォームタイトル経由のStored Cross-Site Scripting

このXSS脆弱性は、攻撃者が悪意のあるスクリプトをGravity Formsフォームに埋め込むことを可能にします。攻撃者は、フォームを送信するユーザーのブラウザでこのスクリプトを実行し、Cookieの窃取、セッションハイジャック、リダイレクト、または悪意のあるWebサイトへの誘導など、様々な攻撃を実行できます。特に、フォームの管理者は、この脆弱性によってシステム全体へのアクセスを失うリスクがあります。この脆弱性は、WordPressサイトのセキュリティを著しく損なう可能性があります。

1. 予約済み2026-03-03
2. 公開日2026-03-11
3. 更新日2026-04-08
4. EPSS 更新日2026-03-23

この脆弱性への最も効果的な対策は、Gravity Formsプラグインをバージョン2.9.29以降にアップデートすることです。アップデートが直ちに実行できない場合は、WordPressのWAF（Web Application Firewall）を使用して、createfromtemplateエンドポイントへの不正なリクエストをブロックすることを検討してください。また、入力データのサニタイズと出力のエスケープを強化するカスタムコードを実装することも有効です。アップデート後、フォームの動作をテストし、XSS攻撃が発生していないことを確認してください。