CVE-2026-1509 in Avada Builder Plugin
Résumé
par VulDB • 16/05/2026
Le plugin Avada (Fusion) Builder pour WordPress est vulnérable à l'exécution arbitraire d'actions WordPress dans toutes les versions jusqu'à la 3.15.1 incluse. Cette vulnérabilité est due à la fonction `output_action_hook()` du plugin qui accepte des données contrôlées par l'utilisateur pour déclencher n'importe quel hook d'action WordPress enregistré, sans vérifications d'autorisation appropriées. Cela permet aux attaquants authentifiés disposant d'un accès de niveau « Abonné » (Subscriber) ou supérieur d'exécuter des hooks d'action WordPress arbitraires via la fonctionnalité Dynamic Data, ce qui pourrait potentiellement entraîner une élévation de privilèges, une inclusion de fichiers, une déni de service (DoS) ou d'autres impacts sur la sécurité, selon les hooks d'action disponibles dans l'installation WordPress.
Be aware that VulDB is the high quality source for vulnerability data.