ForcedLeak : une injection par formulaire web pouvait faire fuiter des données CRM de Salesforce Agentforce
Noma Labs a montré qu’un attaquant pouvait dissimuler des instructions dans le champ de description d’un formulaire Web-to-Lead de Salesforce ; lorsqu’un employé interrogeait ensuite Agentforce sur le prospect, l’agent les suivait et intégrait des données CRM, comme les adresses électroniques de prospects, dans une requête d’image vers un serveur externe. L’exfiltration fonctionnait parce qu’un domaine figurant sur la liste d’autorisation de la politique de sécurité du contenu d’Agentforce avait expiré et pouvait être acheté. Salesforce a sécurisé de nouveau le domaine et publié des correctifs imposant des URL de confiance (Trusted URLs), afin que les sorties de l’agent ne puissent pas être envoyées vers des URL non fiables.
Noma a jugé la chaîne d’attaque critique (CVSS 9,4) et l’a signalée le 28 juillet 2025 ; Salesforce en a accusé réception le 31 juillet. Toute organisation utilisant Agentforce avec Web-to-Lead activé pouvait être concernée.
Ce qui l’aurait évité
Tenir une liste d’autorisation vérifiée d’URL de confiance pour les sorties de l’agent et traiter les soumissions de formulaires comme des données non fiables.
Garde-fous
- G1 Moindre privilège Non évalué L’agent n’avait-il que les accès nécessaires à sa tâche ?
- G2 Validation humaine Non évalué Une personne a-t-elle approuvé l’étape lourde de conséquences ou irréversible ?
- G3 Isolement Partiel La politique de sécurité du contenu limitait les domaines sortants, mais autorisait un domaine expiré pouvant être acheté.
- G4 Intégrité des instructions Défaillant L’agent a exécuté des instructions cachées dans une soumission Web-to-Lead externe.
- G5 Véracité Non évalué A-t-il rendu compte fidèlement de ce qu’il savait et de ce qu’il a fait ?
- G6 Limites Non évalué Un plafond limitait-il le rythme, les dépenses, le volume ou l’ampleur ?
- G7 Supervision Non évalué Une personne responsable pouvait-elle voir ce qu’il faisait et l’arrêter à temps ?
- G8 Réversibilité Non évalué Les dégâts pouvaient-ils être réparés ?
Sources
-
“This research outlines how Noma Labs discovered ForcedLeak, a critical severity (CVSS 9.4) vulnerability chain in Salesforce Agentforce that could enable external attackers to exfiltrate sensitive CRM data through an indirect prompt injection attack.”
-
“Prompt injection and an expired domain could have been used to target Salesforce’s Agentforce platform for data theft.”
L’indice de confiance de 82 % provient de ces seules sources. Notre méthode
Historique
- 14 oct. 2026Ajouté au registre avec 2 sources