CVE-2026-16654
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Avada (Fusion) Builder dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) poprzez atrybut 'size' w shortcode'ach we wszystkich wersjach do 3.15.6 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie współautora lub wyższym mogą wstrzyknąć dowolne skrypty na strony, które wykonają się przy każdej wizycie użytkownika.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach użytkowników, co może prowadzić do kradzieży danych, przejęcia sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Avada (Fusion) Builder do najnowszej wersji, która zawiera poprawkę eliminującą tę podatność.
Inne podatności w Avada (Fusion) Builder
Zobacz wszystkie- CVE-2026-12536Średnie
Wtyczka Avada (Fusion) Builder dla WordPress jest podatna na przechowywany atak XSS poprzez parametr 'Module Title' we wszystkich wersjach do 3.15.5 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-1543Średnie
Wtyczka Avada (Fusion) Builder dla WordPressa do wersji 3.15.2 włącznie jest podatna na przechowywany atak XSS przez wiele shortcodów. Powodem jest niedostateczne oczyszczanie danych wejściowych i brak odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Avada (Fusion) Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'size' Shortcode Attribute in all versions up to, and including, 3.15.6 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. WordPress's wp_kses_post filter does not neutralize the payload because the injected content resides entirely within a shortcode attribute string containing no HTML angle brackets, causing kses to pass it through unchanged at save time.