Veille sécuritéCMS & e-commerce
P3Élevée
Une XSS stockée dans Gravity Forms peut être déclenchée par une valeur malveillante soumise dans le champ Liste. L’exploitation nécessite qu’un administrateur clique sur le lien injecté dans le détail de l’entrée et confirme une boîte de dialogue; les versions jusqu’à 3.1.2 incluse sont concernées.
JavaScriptWordPress
IdentifiantCVE-2026-97645
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-97645
Analyse technique
Le gestionnaire JavaScript délégué de l’interface d’administration appelle une fonction fournie par l’attaquant après l’action et la confirmation de l’administrateur.
Impact, versions et correctif
Événement datéPublication NVD le 2026-10-30, dans la période demandée; l’événement retenu est la divulgation de la vulnérabilité.
ImpactExécution de script dans le contexte de l’interface d’administration après interaction d’un administrateur.
Versions affectéesToutes les versions jusqu’à 3.1.2 incluse.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.2
EPSS0,19% · percentile 8,7%
Publication2026-10-30T07:16:35.393Z
Mise à jour2026-10-30T16:18:00.383Z
Action recommandée
Mettre à jour Gravity Forms vers une version corrigeant la vulnérabilité et limiter l’accès aux entrées non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).