Vulnerabilidad en plugin para WordPress Gravity Forms (CVE-2026-4394)

El plugin Gravity Forms para WordPress es vulnerable a cross-site scripting almacenado a través del subcampo Tipo de Tarjeta del campo Tarjeta de Crédito ('input_ id .4') en todas las versiones hasta la 2.9.30, inclusive. Esto se debe a que el método 'get_value_entry_detail()' en la clase 'GF_Field_CreditCard' emite el valor del tipo de tarjeta sin escapar, combinado con que 'get_value_save_entry()' acepta y almacena entrada de usuario no saneada para el parámetro 'input_ id .4'. El campo Tipo de Tarjeta no se renderiza en el formulario de frontend (normalmente se deriva del número de tarjeta), pero el analizador de envío de backend lo acepta ciegamente si se incluye en la solicitud POST. Esto hace posible que atacantes no autenticados inyecten scripts web arbitrarios que se ejecutan cuando un administrador ve la entrada del formulario en el panel de WordPress.