CVE-2026-16654

Nome do Software Vulnerável e Versões Afetadas Avada (Fusion) Builder versões anteriores a 3.15.7

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso é feito injetando scripts web arbitrários através do atributo de shortcode size. O problema persiste porque o filtro wp kses post, destinado a sanitizar o conteúdo, não neutraliza a carga útil quando esta está contida em uma string de atributo de shortcode sem colchetes HTML.

Recomendações Atualize o Avada (Fusion) Builder para a versão 3.15.7 ou posterior.