CVE-2026-97340

Nome do Software Vulnerável e Versões Afetadas Avada | Website Builder For WordPress & WooCommerce versões anteriores a 7.16.2

Descrição Ocorre Cross-Site Scripting (XSS) Armazenado através dos campos de método de contato de links sociais da Página do Autor no perfil do usuário. O problema existe porque a função Fusion Social Icon::get markup() utiliza esc attr() para emitir valores dentro de um href de âncora, o que não rejeita esquemas de URL perigosos como javascript:. Atacantes autenticados com nível de acesso Assinante ou superior podem injetar scripts web arbitrários nas variáveis author facebook, author twitter, author linkedin, author dribble, author whatsapp e author email. O script é executado quando um usuário visita a página do autor e clica no ícone social injetado, desde que a configuração Open Social Icons in a New Window esteja desativada.

Recomendações Atualize para uma versão posterior à 7.16.1. Como mitigação temporária, ative a configuração Open Social Icons in a New Window para evitar que o navegador execute URLs javascript: na aba atual.