CVE-2026-84938

Nome do Software Vulnerável e Versões Afetadas Avada (Fusion) Builder versões anteriores a 3.16.2

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso ocorre por meio do action hook de Dynamic-Data de Notificação de Formulário através de uma Cadeia de Upload de Mídia envolvendo Metadados ID3 e html attributes. Um atacante pode injetar scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada. A exploração bem-sucedida requer que um Fusion Form esteja incorporado em uma página criada por um administrador e que um elemento Post Cards configurado para exibir tipos de postagem de anexo esteja presente em uma página acessível ao público.

Recomendações Atualize o Avada (Fusion) Builder para a versão 3.16.2 ou posterior.