Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-97340 Cross-site scripting almacenado en Avada | Website Builder For WordPress & WooCommerce

El tema Avada registra campos de contacto social del perfil de usuario y los emite en el href de un enlace usando solo esc_attr(), sin rechazar esquemas peligrosos como javascript:. Atacantes autenticados con nivel Subscriber o superior pueden inyectar scripts que se ejecutan cuando un usuario abre la página de autor y hace clic en el ícono social inyectado. Afecta versiones hasta la 7.16.1 inclusive.

Alerta de Nureq Monitor

Detectada 10 OCT · 06:05

CVSS 3.1

6.4MEDIA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,2 % PERCENTIL 4

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-97340

El tema Avada registra campos de contacto social del perfil de usuario y los emite en el href de un enlace usando solo esc_attr(), sin rechazar esquemas peligrosos como javascript:. Atacantes autenticados con nivel Subscriber o superior pueden inyectar scripts que se ejecutan cuando un usuario abre la página de autor y hace clic en el ícono social inyectado. Afecta versiones hasta la 7.16.1 inclusive.

Productos y versiones afectadas

  • ThemeFusion Avada | Website Builder For WordPress & WooCommerce

    • hasta 7.16.1

Qué hacer

  1. Verificá si usás Avada | Website Builder For WordPress & WooCommerce y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 6.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Cambiado
CONFIDENCIALIDAD (C)
Baja
INTEGRIDAD (I)
Baja
DISPONIBILIDAD (A)
Ninguna

Abrir la calculadora completa

Descripción original

The Avada | Website Builder For WordPress & WooCommerce theme for WordPress is vulnerable to Stored Cross-Site Scripting via the user profile 'Author Page' social link contact-method fields (author_facebook, author_twitter, author_linkedin, author_dribble, author_whatsapp, author_email) in versions up to, and including, 7.16.1. Avada registers these fields through the user_contactmethods filter and, on the author archive, emits them inside an anchor href using only esc_attr() in Fusion_Social_Icon::get_markup(), which escapes HTML metacharacters but does not reject dangerous URL schemes such as javascript:. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses their author page and clicks the injected social icon (a click is required, and the site must have 'Open Social Icons in a New Window' set to Off so the browser doesn't block the javascript: URL from opening in a new tab).

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.