CVE-2024-0710

• الثغرة: CVE-2024-0710 (تعديل المعرّف الفريد في إرسال النماذج بدون مصادقة)
• CVSS: 5.3 (متوسطة)
• البرنامج: GP Unique ID (gp-unique-id)
• الإصدارات المتأثرة: <= 1.5.5
• الإصدار المُصحح: 1.5.6
• المطور: Gravity Wiz
• الباحث: Karl Emil Nikka, Nikka Systems
• نُشر علنًا: 2024-04-10
• آخر تحديث: 2024-04-18

نظرة عامة

يمكن لمُرسل نموذج غير مصادق عليه اختيار قيمة مخصصة لحقل يُفترض أن تكون قيمته عشوائية أو تسلسلية دائمًا. تؤثر هذه الثغرة فقط على المواقع التي يجب أن تكون فيها القيمة إما عشوائية أو تسلسلية لأسباب قانونية أو وظيفية أو أمنية.

معلومات أساسية

GP Unique ID هو إضافة لـ Gravity Forms. يقوم بتعيين معرفات فريدة للإدخالات بعد الإرسال الناجح. على عكس معرفات قواعد البيانات الفعلية للإدخالات، يمكن تخصيص معرفات GP Unique ID، المشار إليها فيما بعد باسم GPUIDs، بواسطة منشئ النموذج لتتبع بنية محددة مع رقم بداية ومجموعة أحرف وطول وبادئة ولاحقة محددة. يتم تخزين GPUID في حقل مخصص لإدخالات Gravity Forms. الحقل مخفي في الواجهة الأمامية.

يذكر مطور الإضافة حالات الاستخدام الشائعة التالية لـ GP Unique ID.

• توفير رقم تأكيد أو مرجع بطول محدد لكل إدخال.
• الحفاظ على رقم فاتورة تسلسلي.
• توليد رمز قسيمة فريد يمكن استخدامه في عمليات إرسال النماذج اللاحقة.
• توليد رقم فريد للاستخدام في السحوبات.

الثغرة

يقوم GP Unique ID بتعيين GPUID بعد إرسال النموذج بنجاح، ولكن فقط طالما لا توجد قيمة في الحقل بالفعل. وهذا يسمح لمُرسل النموذج بتعيين GPUID مخصص عند إرسال النموذج. نظرًا لأن الحقل ليس فارغًا، لا يتم تخزين GPUID حقيقي. لذلك يمكن للزائر:

• تعيين GPUID لا يتبع البنية المحددة
• تعيين GPUID غير تسلسلي
• تعيين GPUID غير عشوائي
• تعيين GPUID مُخصص بالفعل لإدخال آخر.

التصحيحات

أصدرت Gravity Wiz نسخة مصححة من الإضافة في 2024-04-09. يجب على مسؤولي المواقع التحديث إلى الإصدار المُصحح (1.5.6)، وإذا كان الأمر مناسبًا، التأكد من عدم العبث بعمليات الإرسال السابقة.

• 2024-01-13 أبلغت Gravity Wiz بالثغرة (وفقًا لسياسة الإفصاح المسؤول لمدة 90 يومًا الخاصة بـ Project Zero).
• 2024-01-13 قدمت الثغرة إلى CNA التابع لـ Wordfence. رفضت المشاركة في برنامج مكافآت الثغرات الخاص بهم.
• 2024-01-15 أكدت Gravity Wiz استلامها للتقرير.
• 2024-01-16 أقرت Gravity Wiz بالثغرة وأخبرتني أنها ستصدر تصحيحًا لها.
• 2024-01-19 خصصت Wordfence للثغرة المعرف CVE-2024-0710.
• 2024-02-29 أرسلت تذكيرًا لمدة 45 يومًا إلى Gravity Wiz.
• 2024-04-01 أرسلت تذكيرًا بأن نافذة الإفصاح المسؤول البالغة 90 يومًا ستنتهي خلال أسبوعين.
• 2024-04-07 أرسلت لي Gravity Wiz نسخة ما قبل الإصدار من الإضافة المُصححة.
• 2024-04-09 أصدرت Gravity Wiz الإضافة المُصححة، بعد 87 يومًا من التقرير الأولي (ضمن نافذة الإفصاح المسؤول البالغة 90 يومًا).