Veille sécuritéCMS & e-commerce
P3Élevée
Une faille XSS dans Gravity Forms permet à un attaquant non authentifié d’injecter du script dans des pages via les champs Extrait, Champ personnalisé ou Paragraphe enrichi. Elle concerne les versions jusqu’à 3.1.1 incluse; mettre à jour vers une version corrigée.
JavaScriptWordPress
IdentifiantCVE-2026-90437
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-90437
Analyse technique
La validation et l’échappement insuffisants permettent de stocker du contenu HTML qui peut être interprété comme du script dans le navigateur.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-30, dans la période demandée; il s’agit d’une divulgation de vulnérabilité, et non d’une simple modification administrative.
ImpactExécution de scripts dans le navigateur des personnes consultant une page contenant une soumission malveillante.
Versions affectéesToutes les versions jusqu’à 3.1.1 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,19% · percentile 8,7%
Publication2026-10-30T07:16:34.600Z
Mise à jour2026-10-30T19:20:18.563Z
Action recommandée
Mettre à jour Gravity Forms vers une version corrigeant la vulnérabilité.
Sources
Priorisation DFS : P3 · 1 source(s).