Podatności Gravity Forms

Podatność na Path Traversal w Gravity Forms od Rocketgenius Inc. pozwala na dostęp do plików poza dozwolonym katalogiem. Problem dotyczy wersji do 2.10.0.1 włącznie.

Wtyczka Gravity Forms dla WordPressa jest podatna na Directory Traversal we wszystkich wersjach do 2.10.4 włącznie poprzez parametr 'gform_uploaded_files'. Niezalogowani atakujący mogą odczytać dowolne pliki na serwerze, co może ujawnić wrażliwe informacje.

Wtyczka Gravity Forms dla WordPress w wersjach do 2.9.30 włącznie jest podatna na Reflected XSS przez parametr `form_ids` w akcji AJAX `gform_get_config`. Wynika to z metody `GFCommon::send_json()`, która wypisuje dane JSON w komentarzach HTML z nagłówkiem `Content-Type: text/html` zamiast `application/json`. Funkcja `wp_json_encode()` nie koduje znaków < i > w wartościach JSON, co pozwala na wstrzyknięcie znaczników HTML/script. Nonce `config_nonce` jest generowany z `wp_create_nonce('gform_config_ajax')` i jest publicznie osadzony na każdej stronie z formularzem Gravity Forms, co czyni go identycznym dla wszystkich nieuwierzytelnionych odwiedzających w ciągu 12-godzinnego ticka nonce. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów webowych na stronach, jeśli uda im się nakłonić użytkownika do kliknięcia linku. Podatność nie działa przeciwko uwierzytelnionym użytkownikom.

Wtyczka Gravity Forms dla WordPress do wersji 2.9.30 włącznie ma podatność na Stored XSS w polu karty kredytowej (podpole 'Card Type'). Metoda get_value_entry_detail() wyświetla wartość bez eskejpowania, a get_value_save_entry() akceptuje niesanitowane dane wejściowe. Pole Card Type nie jest renderowane na froncie, ale backend akceptuje je z żądania POST. Nieuwierzytelnieni atakujący mogą wstrzyknąć dowolne skrypty, które wykonują się podczas przeglądania wpisu w panelu administratora.