Вразливість збереженого XSS у плагіні Avada Builder для WordPress

Що відомо

Плагін Avada Builder для WordPress має вразливість збереженого Cross-Site Scripting (XSS) через недостатню санітизацію та екранування вхідних даних у шорткодах у версіях до 3.11.11 включно. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при відкритті сторінок користувачами.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або змінити відображення сторінок, що негативно впливає на безпеку та довіру до вебресурсу. Власники сайтів на WordPress з плагіном Avada Builder повинні врахувати ризики компрометації даних та потенційних атак на користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Avada Builder від розробника Theme-Fusion та встановити їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на наявність підозрілої активності та зменшити експозицію вразливих сторінок. Також варто впровадити додаткові заходи фільтрації та екранування введених даних.

Джерела

• NVD
• Reference
• Reference