Критическая уязвимость в теме Avada для WordPress позволяет выполнить код без единого клика

Критическая уязвимость в теме Avada для WordPress позволяет выполнить код без единого клика. Фото: СС0

Атака включает последовательное использование уязвимостей авторизации, проверки входных данных, нарушения границ доверия и недостаточно защищённых административных операций, а также обход ограничений на обработку файлов, что в итоге даёт возможность полностью скомпрометировать сайт — от внедрения вредоносного ПО и доступа к базам данных до перенаправления посетителей на фишинговые ресурсы и создания фальшивых учётных записей администратора.

Разработчик темы ThemeFusion выпустил исправления в версиях Avada 7.16.1 и Fusion Builder 3.16.1, однако компания Wordfence, обнаружившая уязвимость с помощью собственной агентной платформы Argus, опубликовала лишь общий обзор цепочки атак, чтобы дать администраторам время установить обновления.

Проблема затрагивает все версии Avada до 7.16 и Fusion Builder до 3.16, а поскольку Fusion Builder является обязательным компонентом темы, уязвимость представляет угрозу для значительного числа сайтов — Avada является одной из самых популярных тем на рынке с более чем миллионом продаж.

Исследователи настоятельно рекомендуют всем владельцам сайтов на Avada немедленно обновить тему и плагин до актуальных версий, учитывая критический характер уязвимости и отсутствие необходимости в каком-либо действии со стороны пользователя для её эксплуатации.