Avada (Fusion) Builder est vulnérable à une injection XSS persistante en raison d’un assainissement insuffisant des entrées et d’un échappement incomplet des sorties. L’exploitation nécessite notamment un formulaire Fusion intégré à une page créée par un administrateur et un élément Post Cards public configuré pour afficher des pièces jointes.
Source : NVD — CVE-2026-84938
Analyse technique
La chaîne d’attaque décrite passe par les données dynamiques d’une action de notification de formulaire et le téléversement de médias; le contenu injecté s’exécute lorsqu’un visiteur consulte la page affectée.
Impact, versions et correctif
Action recommandée
Mettre à jour Avada Builder dès qu’un correctif est disponible et vérifier les pages utilisant les configurations de formulaire et Post Cards concernées.
Sources
Priorisation DFS : P3 · 1 source(s).