Flatsome-lek CVE-2026-18742: XSS via het Custom HTML-blok, controleer je WooCommerce-thema

In het WordPress-thema Flatsome is een beveiligingslek gevonden. Flatsome is een betaald multipurpose-thema voor WooCommerce-webshops, verkocht via ThemeForest door UX Themes. Het lek heeft het nummer CVE-2026-18742 en zit in alle versies tot en met 3.20.12. Een gebruiker met minimaal de rol Bijdrager (contributor) kan via het Custom HTML-blok kwaadaardige code op een pagina zetten. Die code draait vervolgens in de browser van iedereen die de pagina bekijkt, ook bij een beheerder. Het lek is medio november 2026 openbaar gemaakt.

Wat is er precies mis?

Volgens de beschrijving in het CVE-record, dat door Wordfence is aangemaakt, gaat het om stored cross-site scripting (XSS). Daarbij slaat een aanvaller een stukje script op in de inhoud van je site. Het script wordt niet direct uitgevoerd, maar pas als iemand de pagina opent.

Het probleem zit in drie HTML-attributen die je in het Custom HTML-blok van Flatsome kunt gebruiken: data-text-sec, data-title en title. Een aanvaller kan daar waarden in zetten die het thema later via JavaScript als uitvoerbare HTML behandelt. Volgens de toelichting bij OffSeq Radar komt dat doordat de standaard WordPress-filter wp_kses_post data-attributen gewoon doorlaat. De invoer wordt dus wel gecontroleerd, maar niet op deze manier van misbruik.

Het CVE-record spreekt in de kop van DOM-based stored XSS. Andere databanken noemen het simpelweg stored XSS. Voor jou als site-eigenaar maakt dat weinig uit: het gevolg is hetzelfde.

Hoe ernstig is het?

Wordfence geeft het lek een CVSS-score van 6.4 uit 10, dat valt in de categorie middel. Ook Strix noemt 6.4. VulDB komt lager uit, op 3.5 (laag). Die verschillen ontstaan doordat de databanken de voorwaarden voor een aanval anders wegen.

De belangrijkste voorwaarde is dat de aanvaller al een account op je site moet hebben, met minimaal de rol Bijdrager. Een willekeurige bezoeker kan het lek dus niet zomaar misbruiken. Dat maakt het minder urgent dan lekken die zonder login werken, zoals het Optimole-lek waar we eerder vandaag over schreven.

Toch is het geen lek om te negeren. Bij XSS draait het script met de rechten van degene die de pagina bekijkt. Opent een beheerder de besmette pagina, dan kan het script in theorie acties namens die beheerder uitvoeren, zoals een nieuw beheerdersaccount aanmaken. Ook kan een aanvaller bezoekers doorsturen naar een nepsite. Voor een webshop is dat extra vervelend, omdat klanten daar betaalgegevens invullen.

Wordt het lek al misbruikt?

Op het moment van schrijven is er geen melding van actief misbruik, en volgens VulDB is er geen openbare exploit beschikbaar.

Welke versie is veilig?

Alle versies tot en met 3.20.12 zijn kwetsbaar. VulDB adviseert te updaten naar versie 3.20.13 of hoger. Niet elke bron noemt die versie als oplossing, en wij konden het wijzigingslogboek van Flatsome niet zelf inzien. Controleer daarom in het changelog op ThemeForest of in je WordPress-dashboard dat de update dit lek echt verhelpt.

Het is niet de eerste keer dat Flatsome zo'n probleem heeft. In 2024 werd CVE-2024-5346 bekend, ook een stored XSS-lek, toen in verschillende shortcodes van het thema. Dat lek zat in versies tot en met 3.18.7 en is in 3.19.0 opgelost.

Wat moet je nu doen?

1. Controleer je thema. Ga in WordPress naar Weergave en dan Thema's, en bekijk welke versie van Flatsome je gebruikt. Let op: betaalde thema's van ThemeForest werken niet altijd automatisch bij. Vaak heb je een geregistreerde licentie nodig om updates te ontvangen.
2. Update naar de nieuwste versie zodra die beschikbaar is, en maak eerst een back-up.
3. Kijk wie er accounts heeft. Geef alleen mensen een account die het echt nodig hebben, en ruim oude accounts van stagiairs, oud-medewerkers of externe schrijvers op. Hoe je dat aanpakt, lees je in ons artikel over gebruikersrollen en rechten in WordPress beheren.
4. Controleer recente pagina's en berichten van bijdragers op vreemde HTML in het Custom HTML-blok.
5. Gebruik je een illegale (nulled) versie van Flatsome? Dan krijg je geen updates en loop je extra risico. Stap over op een gelicentieerde versie.

Meer algemene tips vind je in hoe beveilig je jouw WordPress-site tegen hackers. Eerder schreven we ook over een kritiek lek in het Avada-thema, een ander populair betaald thema.

Heb je geen tijd om thema's en plug-ins zelf bij te houden? Met ons website-onderhoud en beheer zorgen wij dat je WordPress-site en webshop up-to-date blijven. Meer actueel nieuws lees je op onze nieuwspagina.

Bronnen: CVE.org, VulDB, Strix, OffSeq Radar, ThreatInt, CVEdetails (CVE-2024-5346). Wij konden de bronpagina's niet rechtstreeks openen; de details zijn gebaseerd op samenvattingen uit zoekresultaten.