Analityczne wykorzystywanie plików cookies
CVE-2024-12477: Luka XSS w wtyczce Avada Builder dla WordPress
Podatność XSS w wtyczce Avada Builder do WordPress umożliwia atakującym z uprawnieniami współtwórcy wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 12.53%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- avada builder
Co wiadomo
Wtyczka Avada Builder dla WordPress do wersji 3.11.11 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode'y, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach, gdzie użytkownicy mają takie uprawnienia, ryzyko naruszenia bezpieczeństwa i integralności witryny jest podwyższone.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Avada Builder i ich wdrożenie. W przypadku braku natychmiastowej poprawki, ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ tymczasowe wyłączenie funkcji shortcode'ów wrażliwych na atak. Regularnie przeglądaj i audytuj uprawnienia użytkowników oraz stosuj zasady minimalnego dostępu.