Analityczne wykorzystywanie plików cookies
CVE-2025-1665: podatność Stored XSS w wtyczce Avada Builder dla WordPress
Avada Builder do wersji 3.11.14 ma lukę Stored XSS umożliwiającą ataki przez shortcode'y. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.16%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- avada builder
Co wiadomo
Wtyczka Avada (Fusion) Builder dla WordPress do wersji 3.11.14 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez nieodpowiednie filtrowanie i zabezpieczanie atrybutów w shortcode'ach. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykraść dane sesji, przeprowadzić phishing lub inne ataki skierowane na użytkowników i administratorów. Właściciele stron korzystających z Avada Builder powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Avada Builder u dostawcy Theme-Fusion i ich wdrożenie. Do czasu aktualizacji warto ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt bezpieczeństwa i rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS.