Opgeslagen XSS in Avada WordPress-thema via auteursprofielvelden (CVE-2026-97340)

Wat is er gebeurd

Avada registreert aangepaste contactmethode-velden op WordPress-gebruikersprofielen voor social media-links, waaronder velden voor Facebook, Twitter, LinkedIn, Dribbble, WhatsApp en e-mail. Deze waarden worden weergegeven op auteursarchiefpagina's binnen het href-attribuut van een anchor-tag. De uitvoerfunctie van het thema, Fusion_Social_Icon::get_markup(), past esc_attr() toe op deze waarden, wat HTML-metatekens escaped maar geen gevaarlijke URL-schema's zoals javascript: blokkeert. Hierdoor kan een aanvaller die deze profielvelden kan instellen, een javascript:-URL invoegen die wordt uitgevoerd zodra een bezoeker op de betreffende social media-icoon klikt.

Technische oorzaak

De oorzaak ligt in onvoldoende sanitatie van de uitvoer: esc_attr() escaped HTML-specifieke tekens, maar valideert of beperkt het URL-schema van attribuutwaarden niet. Dit valt onder CWE-79 (Improper Neutralization of Input During Web Page Generation, ook bekend als Cross-site Scripting). Omdat de betreffende velden standaard WordPress-gebruikersprofiel-contactmethoden zijn, kan elke gebruikersrol die het eigen profiel mag bewerken een kwaadaardige javascript:-URL invoeren in plaats van een legitieme social media-link.

Waarom dit belangrijk is

Misbruik vereist een geauthenticeerd account met minimaal Subscriber-rechten, vaak het laagste niveau van geregistreerde gebruikers op een WordPress-site, dat op sommige installaties open kan staan voor publieke zelfregistratie. De aanval vereist bovendien dat een slachtoffer op de geïnjecteerde social media-link klikt, en dat de instelling 'Open Social Icons in a New Window' is uitgeschakeld; anders zou de browser de javascript:-URL blokkeren bij het openen in een nieuw tabblad. Deze voorwaarden beperken het bereik van de aanval vergeleken met een niet-geauthenticeerde of zero-click kwetsbaarheid, maar de CVSS-vector toont een scope-wijziging (S:C), wat betekent dat de impact verder kan reiken dan de beveiligingscontext van de kwetsbare component zelf.

Wie wordt getroffen

Elke WordPress-site met het Avada-thema in versies tot en met 7.16.1 is getroffen, mits de site gebruikersregistratie toestaat of anderszins toegang op Subscriber-niveau of hoger verleent aan niet-vertrouwde gebruikers, en de instelling 'Open Social Icons in a New Window' is uitgeschakeld.

Getroffen versies

Avada-versies tot en met 7.16.1 zijn bevestigd getroffen. Het feitenpakket verwijst naar versie 7.16.2 als het einde van het getroffen versiebereik, maar de beschikbare gegevens bevestigen niet expliciet dat 7.16.2 een fix bevat voor dit specifieke probleem, en 'fix_available' staat in de brondata op false. Sitebeheerders moeten dit als onopgelost beschouwen totdat verdere bevestiging beschikbaar is.

Fixes en mitigatie

De beschikbare gegevens bevestigen niet dat er een fix is uitgebracht voor deze kwetsbaarheid, ondanks dat 7.16.2 wordt genoemd als grensversie in de gegevens over het getroffen bereik. Sitebeheerders dienen rechtstreeks bij de leverancier van Avada of in de changelog te verifiëren of 7.16.2 of een latere release dit specifieke stored XSS-probleem verhelpt, voordat ze uitgaan van een oplossing. Als algemene voorzorgsmaatregel kan het inschakelen van 'Open Social Icons in a New Window' de praktische uitbuitbaarheid van deze specifieke aanvalsketen verminderen (maar niet elimineren), aangezien deze afhankelijk is van het uitgeschakeld zijn van deze instelling.

Aanbevolen actie

Controleer het registratiebeleid voor gebruikers op getroffen sites om te beperken wie toegang kan krijgen tot accounts met Subscriber-rechten. Controleer bestaande gebruikersprofielen op verdachte of onverwachte waarden in de social media-contactvelden. Verifieer bij de leverancier of een gepatchte versie beschikbaar is die CVE-2026-97340 verhelpt, en pas deze toe zodra dit is bevestigd. Overweeg in de tussentijd 'Open Social Icons in a New Window' in te schakelen als gedeeltelijke mitigatie.