CVE-2024-2311: podatność Stored Cross-Site Scripting w motywie Avada dla WordPress

Co wiadomo

Motyw Avada dla WordPress do wersji 7.11.6 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y wtyczki, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika. Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta umożliwia uwierzytelnionym użytkownikom z uprawnieniami współpracownika lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie motywu Avada do wersji nienarażonej na tę podatność, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających wejścia użytkowników. Regularne przeglądy i testy bezpieczeństwa są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference