Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-79

CVE-2026-90437

Gravity Forms eklentisinde kimlik doğrulaması gerektirmeyen kalıcı siteler arası betik çalıştırma (XSS) açığı

Gravity Forms

Yüksek 7,2 CVSS 3.1
Yayımlandı
Güncellendi
30 Eki 2026
Açık yaşı
1 gün
Kaydı açan
Wordfence

Yönetici özeti

Bu açık, web sitesi ziyaretçilerinin ve yöneticilerin tarayıcılarında zararlı kodların çalışmasına olanak tanıyabilir ve müşteri verilerinin ya da site yönetiminin ele geçirilmesine yol açabilir. Eklenti kullanan siteler için öncelikli olarak ele alınması gereken bir risktir.

ÖzetTürkçe

Gravity Forms WordPress eklentisinin 3.1.1 dahil olmak üzere tüm sürümlerinde, girdi temizleme ve çıktı kaçışlama yetersizliği nedeniyle kalıcı XSS açığı bulunmaktadır. Post özeti, özel alan değeri ve zengin metin paragraf alanları ham HTML kabul etmekte; bir data-dialog-confirm özniteliğine yerleştirilen varlık kodlu (entity-encoded) yük, kaydetme sırasındaki wp_kses_post filtresini geçmekte ve eklentinin yönetici JavaScript kodu tarafından insertAdjacentHTML ile işlendiğinde tarayıcıda çalıştırılabilir hale gelmektedir. Bu nedenle eklentinin ilgili sürümlerini kullanan siteler etkilenmektedir.

Saldırgan ne yapabilir?

Kimliği doğrulanmamış bir saldırgan, enjekte ettiği betiği sayfada çalıştırabilir; bu betik sayfayı görüntüleyen kullanıcıların oturum bilgilerini ele geçirebilir veya yönetici hesaplarında istenmeyen işlemler yaptırabilir.

Kaynaktaki açıklama (İngilizce)

The Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Post Excerpt / Post Custom Field / Rich-Text Paragraph Field Values in all versions up to, and including, 3.1.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is possible because Post Excerpt, Post Custom Field, and Rich-Text-Editor-enabled Paragraph Text fields allow raw HTML submissions via allow_html(), and an entity-encoded payload stored in a data-dialog-confirm attribute evades wp_kses_post() at save time but is decoded into executable markup by the browser when the plugin's admin JavaScript passes the attribute value to insertAdjacentHTML().

Ne yapmalı?

  1. Gravity Forms eklentisini, bu açığı kapatan bir sürüme güncelleyin. Kesin düzeltilmiş sürüm bilgisi veri kaynağında belirtilmediğinden, eklentinin satıcısının yayımladığı en güncel sürümü kurun. Genel öneri
  2. Güncelleme yapılana kadar, Gravity Forms eklentisini geçici olarak devre dışı bırakmayı veya formlarda Post Excerpt, Post Custom Field ve zengin metin paragraf alanlarının kullanımını durdurmayı değerlendirin. Genel öneri
  3. Sitenizde, yönetici panelinde veya sayfa içeriklerinde şüpheli script etiketleri ya da data-dialog-confirm özniteliği içeren kayıtları tarayın ve bulunanları temizleyin. Genel öneri

Ek önlemler

  • Ziyaretçilerin ve yöneticilerin tarayıcılarında çalışan betikleri kısıtlamak için bir İçerik Güvenlik Politikası (CSP) uygulamayı düşünün. Genel öneri
  • Yönetici hesaplarında güçlü parolalar ve iki faktörlü kimlik doğrulama kullanın, yönetici oturumlarını düzenli olarak gözden geçirin. Genel öneri
  • Eklenti ve WordPress çekirdeğini düzenli olarak güncel tutun ve yeni güvenlik duyurularını takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Gravity Forms ≤ 3.1.1 –

Kaynaklar4 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.