→ برگشت به فید آسیب‌پذیری‌ها
CVE-2026-97340 · avada-website-builder-for-wordpress-woocommerce
تزریق اسکریپت ذخیره‌شده (Stored XSS) در قالب Avada | Website Builder For WordPress & WooCommerce
قالب Avada در نسخه‌های ۷.۱۶.۱ و پایین‌تر، فیلدهای پیوند شبکه‌های اجتماعی صفحه نویسنده را از طریق فیلتر user_contactmethods ثبت می‌کند و در بایگانی نویسنده آن‌ها را تنها با esc_attr() داخل ویژگی href قرار می‌دهد؛ این تابع نویسه‌های HTML را گریز می‌دهد اما طرح‌های خطرناک نشانی را رد نمی‌کند. مهاجم احرازهویت‌شده با دسترسی Subscriber یا بالاتر می‌تواند اسکریپت دلخواه را در این فیلدها ذخیره کند تا هنگام مشاهده صفحه نویسنده در مرورگر بازدیدکنندگان اجرا شود و به سرقت نشست یا دستکاری محتوا منجر گردد. چون وصله امنیتی منتشر شده است، قالب را فوراً به نسخه امن به‌روزرسانی کنید.
نسخه‌های تحت تأثیر
<= 7.16.1
راهنمای اقدام و رفع مشکل (Remediation)
- ۱. پشتیبان‌گیری: قبل از اعمال هرگونه تغییر، یک بکاپ کامل از پایگاه داده و فایل‌های سایت تهیه کنید.
- ۲. به‌روزرسانی سریع: افزونه یا هسته avada-website-builder-for-wordpress-woocommerce را بلافاصله به آخرین نسخه ارائه‌شده ارتقا دهید.
- ۳. فایروال و مانیتورینگ: در صورت عدم امکان آپدیت فوری، رول‌های امنیتی WAF را فعال کرده و لاگ‌های وب‌سرور را پایش نمایید.