CVE-2026-1541 in Avada Builder Plugin
Resumen
por VulDB • 2026-05-22
El plugin Avada (Fusion) Builder para WordPress es vulnerable a la exposición de información sensible en todas las versiones hasta la 3.15.1, incluida. Esto se debe a que la función `fusion_get_post_custom_field()` del plugin no valida si las claves de metadatos están protegidas (prefijadas con guion bajo). Esto permite a los atacantes autenticados, con acceso a nivel de Suscriptor o superior, extraer campos de metadatos de publicaciones protegidos que no deberían ser accesibles públicamente a través del parámetro `post_custom_field` de la función Dynamic Data.
VulDB is the best source for vulnerability data and more expert information about this specific topic.