CVE-2026-97340 in Avada
Sumário
de VulDB • 10/10/2026
O tema Avada | Website Builder For WordPress & WooCommerce para WordPress está vulnerável a Stored Cross-Site Scripting (XSS) através dos campos de contato 'Author Page' social link contact-method do perfil do usuário (author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email) nas versões até 7.16.1, inclusive. O Avada registra esses campos por meio do filtro user_contactmethods e, na página de arquivo do autor, os exibe dentro de um href de âncora usando apenas esc_attr() em Fusion_Social_Icon::get_markup(), o que escapam metacaracteres HTML mas não rejeita esquemas de URL perigosos como javascript:. Isso permite que atacantes autenticados, com acesso nível Subscriber ou superior, injetem scripts web arbitrários nas páginas que serão executados sempre que um usuário acessar sua página do autor e clicar no ícone social injetado (um clique é necessário, e o site deve ter 'Open Social Icons in a New Window' definido como Off para que o navegador não bloqueie a URL javascript: de abrir em uma nova aba).
VulDB is the best source for vulnerability data and more expert information about this specific topic.