Avada <= 7.11.1 - Authenticated(Contributor+) Server Side Request Forgery via 'ajax_import_options'

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el tema Avada, que afecta a las versiones hasta 7.11.1. Esta vulnerabilidad permite la ejecución de ataques de Server Side Request Forgery (SSRF) a través de la función 'ajax_import_options'.

Contexto técnico

La vulnerabilidad se origina en la forma en que el tema Avada gestiona las solicitudes del servidor. Un usuario autenticado con rol de contribuyente o superior puede manipular las peticiones a través del endpoint 'ajax_import_options', lo que permite al atacante realizar solicitudes no autorizadas desde el servidor hacia otros recursos internos o externos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes autenticados acceder a información sensible o realizar acciones no autorizadas en el servidor. Esto podría comprometer la integridad y confidencialidad de los datos del sitio, así como afectar la confianza de los usuarios en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo por usuarios autenticados que pueden enviar solicitudes manipuladas al servidor mediante el uso del endpoint vulnerable. Esto requiere que el atacante tenga al menos el rol de contribuyente en el sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el tema Avada a la versión 7.11.2 o superior. Además, se sugiere revisar los roles y permisos de los usuarios, limitando el acceso a funciones críticas solo a aquellos que realmente lo necesiten.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales al endpoint 'ajax_import_options' por parte de usuarios autenticados, así como cambios inesperados en la configuración del servidor o en los datos del sitio.

Alcance afectado

Las versiones afectadas son todas las versiones del tema Avada hasta la 7.11.1. La vulnerabilidad fue publicada el 10 de agosto de 2023 y se ha corregido en la versión 7.11.2.