Уразливість Stored XSS у плагіні Avada Builder для WordPress

Що відомо

Плагін Avada (Fusion) Builder для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр «Module Title» у версіях до 3.15.5 включно. Це дозволяє автентифікованим користувачам з рівнем доступу Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайтах, що використовують плагін, потенційно впливаючи на безпеку користувачів і цілісність контенту. Це створює ризики компрометації облікових записів, викрадення сесій або поширення шкідливого коду через уражені сторінки. Власникам сайтів слід оцінити вплив і пріоритетність усунення цієї проблеми.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Avada Builder від розробника та застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та моніторити логи на ознаки підозрілої активності. Також варто розглянути тимчасове відключення плагіна до усунення уразливості.

Джерела

• NVD
• Reference
• Reference