CVE-2026-1509 in Avada Builder Plugin
Zusammenfassung
von VulDB • 14.06.2026
Das WordPress-Plugin Avada (Fusion) Builder ist in allen Versionen bis einschließlich 3.15.1 anfällig für die Ausführung beliebiger WordPress-Aktionen (Arbitrary WordPress Action Execution). Dies liegt daran, dass die Funktion `output_action_hook()` des Plugins benutzerkontrollierte Eingaben akzeptiert, um jeden registrierten WordPress-Aktions-Hook auszulösen, ohne ordnungsgemäße Autorisierungsprüfungen durchzuführen. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, beliebige WordPress-Aktions-Hooks über die Dynamic Data-Funktion auszuführen, was potenziell zu einer Privilegieneskalation, Dateieinschluss (File Inclusion), Dienstverweigerung (Denial of Service) oder anderen Sicherheitsauswirkungen führen kann, abhängig davon, welche Aktions-Hooks in der WordPress-Installation verfügbar sind.
VulDB is the best source for vulnerability data and more expert information about this specific topic.