PT-2026-57858 · WordPress · Avada (Fusion) Builder

Zbigniew Piotrak · Publicado 2026-07-13 · Atualizado 2026-07-13 · CVE-2026-12536

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Avada (Fusion) Builder plugin for WordPress versões anteriores a 3.15.6

Descrição Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso Colaborador ou superior podem injetar scripts web arbitrários através do parâmetro Module Title. Esses scripts são executados sempre que um usuário acessa a página afetada.

Recomendações Atualize o plugin Avada (Fusion) Builder para WordPress para a versão 3.15.6 ou posterior.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-12536

Produtos afetados

Avada (Fusion) Builder

Referências · 5

• https://twitter.com/infoflowcloud/status/2076770244618547257 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-12536 · Nota de Segurança
• https://themeforest.net/item/avada-responsive-multipurpose-theme/2833226 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/6199b852-3270-4456-934b-68c3ef11b9e5?source=cve · Nota
• https://twitter.com/CVEnew/status/2076767962850369675 · Publicação no Twitter