Вразливість Stored XSS у плагіні Avada (Fusion) Builder для WordPress

Що відомо

Плагін Avada (Fusion) Builder для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'fusion_map' у версіях до 3.12.1 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє зловмисникам з правами контриб’ютора або вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані користувачів або виконувати небажані дії від їх імені. Це підвищує ризик компрометації сайту та впливає на довіру користувачів і безпеку даних.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Avada (Fusion) Builder та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит журналів на предмет підозрілої активності та зменшити експозицію сайту. Також варто розглянути впровадження додаткових заходів фільтрації введених даних.

Джерела

• NVD
• Reference
• Reference