CVE-2026-97340 in Avada
要約
〜によって VulDB • 2026年10月10日
WordPressおよびWooCommerce用のAvada | Website Builder For WordPressテーマには、バージョン7.16.1以前において、ユーザープロフィールの「Author Page」ソーシャルリンク連絡先フィールド（author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email）を介して、格納型クロスサイトスクリプティング（Stored Cross-Site Scripting: XSS）の脆弱性が存在します。Avadaはこれらのフィールドをuser_contactmethodsフィルターを通じて登録し、著者アーカイブにおいてFusion_Social_Icon::get_markup()内でanchor hrefタグ内に出力しますが、ここではesc_attr()のみが使用されており、HTMLメタ文字のエスケープは行われますが、javascript:などの危険なURLスキームは拒否されません。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、ページに任意のWebスクリプトを注入できます。このスクリプトは、ユーザーが著者ページにアクセスして注入されたソーシャルアイコンをクリックした際に実行されます（クリック操作が必要であり、サイト設定で「Open Social Icons in a New Window」がオフになっている必要があります。これにより、ブラウザによるjavascript: URLの新規タブでの開封ブロックを回避できます）。
VulDB is the best source for vulnerability data and more expert information about this specific topic.