CVE-2024-5628: podatność Stored Cross-Site Scripting w wtyczce Avada dla WordPress

Co wiadomo

Wtyczka Avada | Website Builder For WordPress & eCommerce jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode fusion_button we wszystkich wersjach do 3.11.9 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wpływa to na bezpieczeństwo witryny i może skutkować utratą zaufania klientów oraz potencjalnymi naruszeniami danych.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Avada do wersji 3.11.10 lub nowszej, gdzie wprowadzono dodatkowe zabezpieczenia przeciwko różnym wektorom ataku. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp użytkowników do poziomu niższego niż współtwórca oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj i zweryfikuj wszystkie wprowadzone treści przez użytkowników z podwyższonymi uprawnieniami.

Źródła

• NVD
• Reference
• Reference
• Reference