PT-2026-42394 · WordPress · Avada Builder

Craig Smith · Publicado 2026-05-21 · Atualizado 2026-05-21 · CVE-2026-1543

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Avada (Fusion) Builder plugin for WordPress versões anteriores a 3.15.3

Descrição O plugin está sujeito a Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes em múltiplos shortcodes. Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados quando um usuário, normalmente um administrador, acessa uma página que exibe dados dinâmicos do usuário, como informações biográficas recuperadas através do recurso Dynamic Data.

Recomendações Atualize o plugin para uma versão posterior a 3.15.2.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-1543

Produtos afetados

Avada Builder

Referências · 8

• https://nvd.nist.gov/vuln/detail/CVE-2026-1543 · Nota de Segurança
• https://twitter.com/CVEnew/status/2057407792156205429 · Publicação no Twitter
• https://t.me/cveNotify/164331 · Publicação no Telegram
• https://twitter.com/infoflowcloud/status/2057408812982620423 · Publicação no Twitter
• https://themeforest.net/item/avada-responsive-multipurpose-theme/2833226 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/72a6b040-ed02-4561-82f2-4adb820bdf7d?source=cve · Nota
• https://t.me/CVEtracker/54456 · Publicação no Telegram
• https://avada.com/documentation/avada-changelog · Nota