Vulnerabilidad en Gravity Forms (CVE-2026-3492)

El plugin Gravity Forms para WordPress es vulnerable a cross-site scripting almacenado en todas las versiones hasta la 2.9.28.1, inclusive. Esto se debe a un fallo compuesto que implica una autorización faltante en el endpoint AJAX `create_from_template` (permitiendo a cualquier usuario autenticado crear formularios), saneamiento de entrada insuficiente (`sanitize_text_field()` conserva las comillas simples), y escape de salida faltante cuando el título del formulario se renderiza en el desplegable del Selector de Formularios (atributo `title` construido sin `esc_attr()`, y la utilidad JavaScript `saferHtml` solo escapa `&`, `<`, `>` pero no las comillas). Esto hace posible que atacantes autenticados, con acceso de nivel Suscriptor y superior, inyecten JavaScript arbitrario que se ejecuta cuando un Administrador busca en el desplegable del Selector de Formularios en el Editor de Formularios.