CVE-2026-97340 in Avada
요약
\~에 의해 VulDB • 2026. 10. 10.
WordPress 및 WooCommerce용 웹사이트 빌더 테마인 Avada는 최대 7.16.1 버전에서 사용자 프로필의 'Author Page'(저자 페이지) 소셜 링크 연락처 필드(author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email)를 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. Avada는 user_contactmethods 필터를 통해 이러한 필드를 등록하며, 저자 아카이브 페이지에서는 Fusion_Social_Icon::get_markup()에서 anchor href 내부에 esc_attr()만 사용하여 이를 출력합니다. 이는 HTML 메타문자를 이스케이프 처리하지만 javascript:와 같은 위험한 URL 스키마는 거부하지 않습니다. 이로 인해 구독자(Suscriber) 레벨 이상의 권한을 가진 인증된 공격자가 악의적인 웹 스크립트를 페이지에 삽입할 수 있으며, 사용자가 저자 페이지를 방문하고 주입된 소셜 아이콘을 클릭할 때 해당 스크립트가 실행됩니다(클릭이 필요하며, 브라우저가 javascript: URL을 새 탭에서 열지 못하도록 방지하기 위해 사이트 설정의 'Open Social Icons in a New Window' 옵션이 Off로 설정되어 있어야 함).
Once again VulDB remains the best source for vulnerability data.