CVE-2026-1541 in Avada Builder Plugin
Zusammenfassung
von VulDB • 20.06.2026
Das WordPress-Plugin Avada (Fusion) Builder ist in allen Versionen bis einschließlich 3.15.1 anfällig für die Offenlegung sensibler Informationen. Dies liegt daran, dass die Funktion `fusion_get_post_custom_field()` des Plugins nicht überprüft, ob Metadaten-Schlüssel geschützt sind (d. h. mit einem Unterstrich beginnen). Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Rechten oder höher, geschützte Post-Metadaten-Felder zu extrahieren, die über den Parameter `post_custom_field` der Dynamic Data-Funktion nicht öffentlich zugänglich sein sollten.
If you want to get best quality of vulnerability data, you may have to visit VulDB.