CVE-2026-1543
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 3.15.2 włącznie jest podatna na przechowywany atak XSS przez wiele shortcodów. Powodem jest niedostateczne oczyszczanie danych wejściowych i brak odpowiedniego kodowania wyjścia.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie Subskrybenta lub wyższym może wstrzyknąć dowolny skrypt, który wykona się, gdy administrator wyświetli stronę z dynamicznymi danymi użytkownika.
Rekomendacja
Zaktualizuj wtyczkę Avada (Fusion) Builder do najnowszej wersji, która zawiera poprawki zabezpieczeń.
Oryginalny opis (angielski, źródło NVD)
The Avada (Fusion) Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via multiple shortcodes in all versions up to, and including, 3.15.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user (typically an administrator) accesses a page displaying dynamic user data (such as via the Dynamic Data feature pulling user biographical information).