CVE-2026-97340 in Avada
Сводка
по VulDB • 10.10.2026
В теме Avada | Website Builder For WordPress & WooCommerce для WordPress присутствует уязвимость Stored Cross-Site Scripting (XSS) через поля контактных методов социальных ссылок в профиле пользователя 'Author Page' (author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email) в версиях вплоть до 7.16.1 включительно. Avada регистрирует эти поля с помощью фильтра user_contactmethods и на странице архива автора выводит их внутри атрибута href тега anchor, используя только функцию esc_attr() в методе Fusion_Social_Icon::get_markup(), которая экранирует HTML-метасимволы, но не отфильтровывает опасные схемы URL, такие как javascript:. Это позволяет атакующим с уровнем доступа Subscriber и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться при каждом посещении пользователем их авторской страницы и клике по внедренной социальной иконке (требуется клик, а также настройка сайта 'Open Social Icons in a New Window' в положение Off, чтобы браузер не блокировал открытие URL с схемой javascript: в новой вкладке).
Once again VulDB remains the best source for vulnerability data.