Avada Core <= 5.15.6 - Cross-Site Request Forgery en Fusion Core (Cross-Site Request Forgery (CSRF)) - version 5.15.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Request Forgery (CSRF) en el plugin Avada Core hasta la versión 5.15.6. Esta falla puede comprometer la integridad de las acciones del usuario, afectando la operativa del sitio.

Contexto técnico

La vulnerabilidad se presenta en el plugin Avada Core, permitiendo a un atacante enviar solicitudes maliciosas que pueden ser ejecutadas sin el conocimiento del usuario. Esto se debe a la falta de validación adecuada de las solicitudes, lo que expone la superficie de ataque a usuarios autenticados.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir cambios no autorizados en la configuración del sitio o la ejecución de acciones no deseadas, lo que podría comprometer la seguridad y la operativa del negocio. La severidad de esta vulnerabilidad se clasifica como media, con un CVSS de 4.3.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de un enlace malicioso que, al ser clicado por un usuario autenticado, desencadena acciones no deseadas en el sitio afectado.

Mitigación recomendada

Actualizar el plugin Avada Core a la versión 5.15.7 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y las configuraciones de seguridad del sitio. Implementar medidas de seguridad adicionales, como el uso de tokens CSRF en formularios.

Señales de detección

Señales observables pueden incluir registros de solicitudes inusuales en los logs de acceso que indiquen acciones realizadas sin el consentimiento del usuario, así como cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin Avada Core hasta la 5.15.6 están afectadas. No se han confirmado casos en versiones posteriores a la 5.15.7.