CVE-2026-104729
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez parametr 'tab_index, empty_notice' we wszystkich wersjach do 3.16.2 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej contributor może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie. Funkcja wp_kses_post nie usuwa ładunku przy zapisie, ponieważ niebezpieczne znaki znajdują się w tekście atrybutu shortcode między nawiasami kwadratowymi, które kses traktuje jako zwykły tekst, a nie znaczniki HTML.
Ocena ryzyka
Atakujący z kontem contributor może trwale zainfekować strony witryny złośliwym skryptem, który wykona się w przeglądarce odwiedzających, w tym administratorów, umożliwiając kradzież sesji lub przejęcie konta. Ryzyko dotyczy witryn z wieloma autorami lub otwartą rejestracją.
Rekomendacja
Zaktualizuj wtyczkę Avada (Fusion) Builder do wersji nowszej niż 3.16.2, gdy tylko będzie dostępna, i ogranicz uprawnienia contributor do zaufanych użytkowników. Do czasu aktualizacji rozważ wyłączenie lub ograniczenie możliwości publikacji treści przez użytkowników o niskich uprawnieniach.
Inne podatności w Avada (Fusion) Builder
Zobacz wszystkie- CVE-2026-97670Krytyczne
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 7.16.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowany atakujący może wywoływać dowolne hooki akcji WordPressa, wysyłając specjalnie spreparowane żądanie do publicznego punktu końcowego formularza, co może prowadzić do trwałego usunięcia treści (postów, stron, komentarzy) lub innych zmian stanu systemu.
- CVE-2026-97471Średnie
Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na ujawnienie poufnych informacji we wszystkich wersjach do 3.16.1 włącznie poprzez parametr 'args[link_target]'. Nieuwierzytelnieni atakujący mogą wyodrębnić dowolne wartości meta użytkownika dla dowolnego ID użytkownika, w tym adresy e-mail administratorów, nazwy logowania, wp_user_level oraz dane PII klientów WooCommerce, takie jak billing_email, billing_phone i billing_address_1.
- CVE-2026-16654Średnie
Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez atrybut 'size' w shortcode'ach we wszystkich wersjach do 3.15.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzyknąć dowolne skrypty na strony, które wykonają się przy każdej wizycie użytkownika.
- CVE-2026-12536Średnie
Wtyczka Avada (Fusion) Builder dla WordPress jest podatna na przechowywany atak XSS poprzez parametr 'Module Title' we wszystkich wersjach do 3.15.5 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-1543Średnie
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 3.15.2 włącznie jest podatna na przechowywany atak XSS przez wiele shortcodów. Powodem jest niedostateczne oczyszczanie danych wejściowych i brak odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Avada (Fusion) Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'tab_index, empty_notice' parameter in all versions up to, and including, 3.16.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. wp_kses_post does not strip the payload on save because the dangerous characters reside within shortcode attribute text between square brackets, which kses treats as plain text rather than HTML markup.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS