Analityczne wykorzystywanie plików cookies
Wrażliwość Stored XSS w wtyczce Avada (Fusion) Builder dla WordPress
Wtyczka Avada Builder do WordPress ma lukę Stored XSS w shortcode 'fusion_map'. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 8.03%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Avada (Fusion) Builder dla WordPress do wersji 3.12.1 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'fusion_map'. Problem wynika z niewystarczającej sanitizacji i escapingu danych wejściowych w atrybutach użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym odwiedzeniu zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wrażliwość ta stanowi średnie zagrożenie dla bezpieczeństwa witryn opartych na WordPress z zainstalowaną tą wtyczką.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Avada (Fusion) Builder i jej instalację. W przypadku braku łatki, ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS oraz edukację użytkowników o ryzyku związanym z uprawnieniami współtwórcy.