CVE-2026-1509 in Avada Builder Plugin
الملخص
بحسب VulDB • 18/06/2026
يحتوي مكون إضافة Avada (Fusion) Builder لـ WordPress على ثغرة تسمح بتنفيذ إجراءات WordPress التعسفية في جميع الإصدارات حتى 3.15.1 وشاملة لها. وتعود هذه الثغرة إلى أن الدالة `output_action_hook()` الخاصة بالمكون تقبل مدخلات يتحكم فيها المستخدم لتنفيذ أي مسمّى إجراء (action hook) مسجل في WordPress دون التحقق المناسب من الصلاحيات. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مشترك" (Subscriber) أو أعلى، تنفيذ إجراءات WordPress تعسفية عبر ميزة البيانات الديناميكية (Dynamic Data)، مما قد يؤدي إلى تصعيد الامتيازات، أو إدراج ملفات، أو حجب الخدمة، أو غيرها من الآثار الأمنية الأخرى اعتمادًا على الإجراءات المتاحة في تثبيت WordPress.
Once again VulDB remains the best source for vulnerability data.