CVE-2026-84925

Nome do Software Vulnerável e Versões Afetadas Avada | Website Builder For WordPress & WooCommerce versões anteriores a 7.16.2

Descrição Ocorre Cross-Site Scripting Refletido devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas ao enganar um usuário para clicar em um link. O problema existe porque o parâmetro lang é processado através da função set active language() em Fusion Multilingual e concatenado em uma URL pela função get setting link() em Fusion Settings sem a aplicação de urlencode(), esc url() ou esc attr() antes de ser exibido em um atributo href com aspas duplas no metabox do editor de postagens.

Recomendações Atualize o Avada | Website Builder For WordPress & WooCommerce para a versão 7.16.2 ou posterior. Como mitigação temporária, restrinja o acesso ao metabox do editor de postagens apenas a usuários autorizados.